Z benchmark.pl wyciekły hashe haseł

Najwyższa pora by zmienić hasło na serwisie benchmark.pl - atakiem z lipca może być dotkniętych 184 tysiące kont.

[R.....r]

Przypominam, że na wykopie informacje takie jak numer telefonu, jest właśnie "haszowany" w MD5 ;)

[S.....i]

@ReDHunter: Wydaje ci sie ze wygenerowanie teczowych tablic do numeru telefonu stanowi jakis problem w dowolnym algorytmie hashujacym, ktory nie mieli jednogo rekordu przez "godzine" na wspolczesnym PC? W tym przypadku MD5 ma tylko ukryc numer dla oka.

[eloar]

@Razi91: sól jest zapisywana razem z hash, chyba że masz jakiś algorytm wykorzystujący hasło do wygenerowania soli. Sól nie musi być niczym tajnym, bo tylko utrudnia mechanizm. Możesz wygenerować RT dla przestrzeni haseł, np wszystkich haseł 6cio czy 8mio znakowych. Jeśli jednak posolisz każde hasło losowym ciągiem znaków, to dla każdego hasła musisz wygenerować oddzielny zbiór. Jeśli sól nie jest trzymana z hashem, ale generowana z ciągu wejściowego, to jedyne

[Boguson]

Md5 powinien być już dawno zastąpiony wszędzie sha2

[Boguson]

@eloar: Zgadzam się ale może być już nieopłacalne numer odzyskać, hasło odzyskać itp a nakłady na samo hashowanie lepszym algorytmem jednak nie duże

[eloar]

@Boguson: zmiana algorytmu to tylko odporność na mechanizm kolizji. dla haseł to nie ma znaczenia, bo jeśli masz czyste hasła hashowane to RT wygenerować to nie kłopot. Posolone hasło w md5 czy w sha* jest równie bezpieczne

[PajonkMondry]

Potężne MD5, ale nie tak potężne jak plaintext