generuj.pl robi tablice tęczowe i je udostepnia
niestety lekki spoiler
- #
- #
- #
- #
- #
- #
- 73
<b>Generuj.pl udostępnia pary hasło - hash w postaci tablic tęczowych.</b><br /><br />Jest to moje pierwsze znalezisko (ale wykopuję od 2 lat) ;)<br /><br />Niedawno pod wpływem pewnego nieprzyjemnego zdarzenia postanowiłem odkryć jakim cudem moje hasło na pewnym portalu zostało złamane. Odkryłem pewną ciekawostkę...<br /><br />Na większości stron hasła są szyfrowane algorytmem md5. Jest on jednostronny dlatego nie da się go po prostu zdekodować z powrotem. Jest kilka metod łamania haseł m.in. tablice tęczowe czyli spisane gotowe hasła jak i odpowiadające im zakodowane hashe. Takie tablicę mogą posłużyć przy atakach słownikowych czy brute force.<br /> <br />Po wpisaniu do wujka Googla słowa "md5" na pozycji drugiej znajduje się serwis, pewnie niektórym znany - generuj.pl<br />Dzięki niemu można podejrzeć jak nasze hasło wygląda po zakodowaniu różnymi algorytmami w tym także md5.<br />
<br /><br />Malo kto wie, że serwis ten spisuje sobie nasze wpisane frazy łącznie z wygenerowanymi hashami tworząc właśnie swoiste tablice, które następnie udostępnia w swojej bazie danych. Przykład: <a href="//anqel.pl/narzedzia/md5/md5search.php" rel="nofollow" >//anqel.pl/narzedzia/md5/md5search.php</a> do skryptu jest podpiętych ponad 40 baz danych z różnych stron w tym nasz rodowity generuj.pl.<br /> 
<br /><br />Po wygenerowaniu hashy na generuj.pl po niecałej sekundzie hash łacznie z hasłem jest znajdowany na szukarkach hashy (przykład wyżej).<br /><br /><i>Wg. mnie serwisy generujące nie powinny robić kopii fraz wpisanych przez nas wraz z zakodowanym hashem, a tym bardziej ich udostępniać.</i><br /><br />Morał tej bajki jest krótki i niektórym znany: Nie sprawdzajmy haseł nigdzie... (słaby rym, tak wiem o tym)<br /><br />Można liczyć na jakiś pozytywny wykop effect?<br /><br /><br /><br />
<br /><br />Malo kto wie, że serwis ten spisuje sobie nasze wpisane frazy łącznie z wygenerowanymi hashami tworząc właśnie swoiste tablice, które następnie udostępnia w swojej bazie danych. Przykład: <a href="//anqel.pl/narzedzia/md5/md5search.php" rel="nofollow" >//anqel.pl/narzedzia/md5/md5search.php</a> do skryptu jest podpiętych ponad 40 baz danych z różnych stron w tym nasz rodowity generuj.pl.<br /> 
<br /><br />Po wygenerowaniu hashy na generuj.pl po niecałej sekundzie hash łacznie z hasłem jest znajdowany na szukarkach hashy (przykład wyżej).<br /><br /><i>Wg. mnie serwisy generujące nie powinny robić kopii fraz wpisanych przez nas wraz z zakodowanym hashem, a tym bardziej ich udostępniać.</i><br /><br />Morał tej bajki jest krótki i niektórym znany: Nie sprawdzajmy haseł nigdzie... (słaby rym, tak wiem o tym)<br /><br />Można liczyć na jakiś pozytywny wykop effect?<br /><br /><br /><br />Hity
tygodnia
Komentarze (73)
najlepsze
Po pierwsze: z kimś mnie pomyliłeś, bo ja nie broniłem żadnej pracy. Dwa, że nie jestem przemądrzałym magisterkiem, więc nie czuję potrzeby stosowania dokładnej terminologii w każdej sekundzie swojego życia, zwłaszcza, jeśli zaczynam zdanie od "Ja może przełożę na j. polski". Trzy, że prawdę powiedziawszy, to nie wiem, o co Ci chodzi z tą kolizją - poszukiwane hasła zazwyczaj są na tyle krótkie, że w przeszukiwanym zbiorze jest tylko jeden ciąg
Komentarz usunięty przez moderatora
http://en.wikipedia.org/wiki/Rainbow_table
lub Linuksa: echo -n "haslo" | md5sum
http://www.youtube.com/watch?v=xjIrho8xJx8
c:>echo -n "haslo" | md5sum
870549ac4e63cefffb1c9d8feecf8204 *-
;)
Przykład 1:
hasło: dupa
sposób generowania hasha: MD5('dupa');
MD5: 9743a66f914cc249efca164485a19c5c
Bez problemu do wyszukania w „tęczowej tablicy”. Dowód:
http://generuj.pl/?key_md5=9743a66f914cc249efca164485a19c5c
Przykład 2:
hasło: dupa
sól w skrypcie: oQu84Y
sposób generowania hasha: MD5('dupa'.'oQu84Y');
MD5: 39688d2460204da150b25294697dfbf7
Jeśli sól jest odpowiednio skomplikowana, to hasło jest bardziej bezpieczne. Dowód:
http://generuj.pl/?key_md5=39688d2460204da150b25294697dfbf7
Normalnie jednak zabezpieczenie jest dwojakie:
1.) Generowana jest długa sól za pomocą algorytmów losowych i funkcji haszującej. Umieszczona ona zostaje obok haszu hasła w bazie danych. W ten sposób hasło jest odpowiednio długie i skomplikowane, żeby stanowić poważne utrudnienie dla tęczowch tablic i metod brute force.
2.) Oprócz tego mamy drugą sól, ciąg
Teraz używa się nowocześniejszych algorytmów np. SHA-256, które mają hashe conajmniej dwukrotnie dłuższe, więc nieporównywalnie mniej podatne na kolizje.