[G.....n]

Jak z dużym prawdopodobieństwem sprawdzić, czy hasła w danym serwisie są solone?

#programowanie #zagadkihakerskie

[L.....k]

@Ginden: polizać #suchar

[ktoosiu]

@Ginden: zarejestrować się, jeśli przyślą hasło w mailu aktywacyjnym albo jest opcja przypomnienia(nie zmiany!) to masz 100%pewności że nie solone;d

[G.....n]

@ktoosiu: większość serwisów nie przysyła hasła ani nie ma opcji przypomnienia.

[krupek]

@Ginden: to jest zagadka tzn znasz odpowiedź? jeśli tak to zdradź ;>

[koziolek]

@ktoosiu: To, że hasło jest przysyłane w mailu przy rejestracji nie wyklucza hashowania. W mailu z przypomnieniem już tak.

@Ginden: Jeżeli ograniczają długość hasła, albo zabraniają znaków specjalnych.

[G.....n]

@krupek: znam. Dam potem, teraz podpowiedź:


@koziolek: nie mówię o hashowaniu, tylko soleniu.

[krupek]

@Ginden: Poddaję się. Jak będziesz dawał odpowiedź to możesz mnie zawołać.

[Ajakamr]

Zakladając, że znamy funkcje skrótu serwisu (albo po prostu przelecieć po każdej popularnej funkcji) musimy znaleźć dwie wartości (raczej nie jest to problem), dla których występuje kolizja hashy. Robimy konto z pierwszym hasłem. Następnie próbujemy zalogować się drugim hasłem. Udane logowanie => brak solenia. Czy o to chodzi?

[G.....n]

@Ajakamr: dokładnie. ;)

Choć chodziło mi o konkretniejszą metodę - istnieje atak na MD5, który pozwala bardzo szybko znajdować kolizje dla znanego hasła.

@krupek ^

[a.....r]

@Ginden: Dobrze, że napisałeś "z bardzo dużym prawdopodobieństwem", bo podana metoda nie pozwala rozróżnić czy hasło jest solone czy, po prostu, jest zapisane tekstem jawnym ;)

[G.....n]

@almafater: wtedy podajemy odpowiednio długie hasło, np. na 500 znaków. MD5 łyknie całość, plaintext utnie w bazie danych. ;)