[suvroc]

Zaczynam dziś serię zagadek z bezpieczeństwa IT dla twórców oprogramowania (deweloperów, testerów, architektów, PMów, analityków itp.)

Zasady są proste:
- co tydzień publikuję nową zagadkę (na grafice)
- odpowiedz w komentarzu
- przed odpowiedzią nie poglądowej odpowiedzi innych (nie czytaj komentarzy)
- po 3 dniach napiszę rozwiązanie

Jeżeli chcesz widzieć każda zagadkę, to obserwuj tag #zagadkibezpieczenstwa

#zagadkibezpieczenstwa #bezpieczenstwo #programowanie #programista15k #security #hasla #zagadka #it

[Sloiko-student_1]

@suvroc
Salt be like: & #&#/:%#
Pepper be like: E

[suvroc]

jak nie posolisz to łątwiej złamać

@myszka_szara: "jak nie posolisz to łatwiej złamać" - to prawda, ale to nadal nie pokazuje różnicy :-)

[suvroc]

Salt be like: & #&#/:%#

Pepper be like: E

@Sloiko-student_1: A mógłbyś rozwinąć?

[Sloiko-student_1]

@suvroc sól to dodanie dowolnych znaków w celu zapełnienia maksymalnej ilości możliwych znaków do wprowadzenia, co znacząco utrudnia atak dictionary, ale trzymany jest jawnie, przez co brutem i tak mamy tą samą'trudnosc' I działa tak samo jak np wektor wejściowy. Pepper nie jest zapisywany, a przynajmniej nie powinien. Jest generowany losowo i często jest po prostu jednym znakiem, dlatego taki komentarz

[paramyksowiroza]

@suvroc: Popieprz Pietrze hasła pieprzem, wtedy hashe będą lepsze :)

[object]

@suvroc: salt często jest trzymany w bazie danych w raz z hashem hasła co ułatwia ataki bruteforce gdy ktoś uzyska dostęp do bazy danych. Peper trzymany jest np. w pliku konfiguracyjnym co zwiększa bezpieczeństwo.

[suvroc]

POPRAWNA ODPOWIEDŹ:

Zarówno sól jak i pieprz są metodami na podniesienie bezpieczeństwa hashy i zabezpieczenie ich przed zbyt szybkim złamaniem.
Sól jest przechowywana w bazie danych, dzięki temu może być unikalna dla każdego hasła.
Z kolei pieprz jest przechowywany na poziomie serwera API i jest taki sam jak dla całej aplikacji.
Pozwala on zabezpieczyć hashe haseł naszych użytkowników nawet w przypadku gdy baza danych wycieknie.

[suvroc]

@Sloiko-student_1: Niestety to zła odpowiedź