niczeq - 08-01-2006, 18:25 a nie mogloby byc dwoch wersji ? jedna jako "testowa" bez zadnych ulepszen kodowania hasel a druga dla osob ktore na pewno nie bede chcialy rezygnowac z "by Przemo" z tym uleprzeniem kodowania hasel ? 
Gracek - 08-01-2006, 18:32 jesli Ci zabezpieczen za malo to sobie mozesz zmienic sposob kodowania 
Rif_Raf - 08-01-2006, 19:40 Straszne.Dla testów wyciągnąłem 22 hashe z bazy. Robiłem cyfry+małe litery, do 7 znaków 6 nie udalo się złamać. 3 miały 7 znaków (reszta mniej) 1 miał cyfre Przeraziło mnie to. Nie wiem, który jest czyj, bo robiłem to losowo, pozatym na co mi ich hasła. Ale trzeba wprowadzić kampanie nt. bezpiecznych haseł, bo to wola o pomste do nieba. Tragedia. Myślę, że głownie trzeba by się skupić właśnie na uświadomieniu userów, bo bez tego największe zabezpieczenia z naszej strony nic nie dadza. A zlamanie hasla z bazy danych będzie możliwe tylko ja my damy dupy i nie dopilnujemy zabezpieczeń naszego forum. Przemo - 08-01-2006, 20:00 Rif_Raf, Poproś Paszczaka on Ci złamie 80% haseł w pare minut moga miec nawet powyżej 7 znaków Udowodnił mi to, tez się przeraziłem.
Myślałem na temat kodowania hasła do postaci md5 przed wysłaniem do serwera w JS ale tu znowu pojawia sie problem - Jak ktoś będzie miał hasło w postaci md5 będzie mógł się zalogować i to nawet w przypadku hasła wieloznakowego ze znakami specialnymi ktore normalnie bylo by dla niego bezuzyteczne. Widmo - 08-01-2006, 21:35
to może zostawmy tak jak jest. wydajmy w końcu upragniona przez wielu wersje 1.12.0 ? 50k07 - 09-01-2006, 00:33 Nie bylo mnie tylko przez chwile a wy tutaj ...  ile czytania ![;]](images/smiles/icon_square.gif ";]"){kind=icon}
Ale pokolei :
Rogacz, piszesz "ale niestety traci sie kompatybilnosc z phpbb". Wg. mnie niekoniecznie. Paszcza, "I jak nie nauczysz mieć trudne hasła to na gówno będą te super algorytmy!!!" NIE PRAWDA. Robią z gówna coś. masz 4 znaki zamieniasz na 32. kodujesz dodatkowo. Mało kto sie domysli o co tak naprawde chodzi z hashem i jak to jest zrobione... A userów nie przekonasz do zmiany haseł i nie wmawiaj sobie nawet takich idealistycznych poglądów Prosze ...Chyba że siłą, ale wtedy Cię znielubią
Apropos wypowiedzi Edel "Ale jedyne co mozesz zrobic to zeby hasło było inne niż login" ...yy, a to jeszcze tak nie macie  ? Słuszna, BARDZO SŁUSZNA UWAGA !!
Gaw ma dobry pomysł ze skryptem w javie. normalnie >>> BRAWO <<<. Nie wyklucza to elementu funkcji szyfrującej odwracalnej dla zgodności wstecznej, ale rozwiązuje poziom nauki. Można napisać mały tutorial zakładania haseł i dołączyć go do procedury tworzenia usera. ChelloPL, bardzo fajnie że wiesz jak to działa, pomogło mi zrozumieć możliwości jakie mamy Tylko nie wiem czemu ciągle bierzecie pod uwagę możliwość braku kompatybilności z PHPbb "2. jeśli już mamy rezygnować z kompatybilności..."  Jak wy nie bedziecie kompatybilni to ja sie nie odzywam Przemo, powiedz im coś
Crack pisze "Tak, do serwera zawsze lecą jawne dane (chyba że jest to połaczenie z wykorzystaniem SSL/TLS), ale zamiast hasła można wysyłać gotowy hash md5. Wtedy po użyciu sniffera i tak musisz udać się do tabelek albo samodzielnego łamania. " I O TO WŁAŚNIE CHODZI. TO PODSTAWA. TAK MUSI BYĆ !!! "Mimo wszystko jestem za zachowaniem pełnej wstecznej kompatybilności i nieruszaniem hasła." Taaaaak nareszcie ktoś kto pomyślał marketingowo
Niestety nie zgadzam się z "O to mi chodziło, lepiej nie popadać w paranoję. md5 jest nadal uznawany za bezpieczny." MD5 bezpieczny ? LOL ?? Komu złamać ?
Jeszcze raz Paszcza... "ale to ma być forum a nie system bankowy" ... ale przeciez nie stosujecie jeszcze tokenow RSA Data Security. Nie macie jeszcze nawet audytu bezpieczeństwa ani ludzi którzy przejmują kontrolę w kryzysowych momentach (oficerowie bezpieczeństwa) ..no, chyba że macie 
Leone "Istnieją przecież różne słowniki, bazy z hashami md5. Jeśli się zmieni kodowanie haseł, to trzeba będzie jedynie poczekać, aż powstaną nowe słowniki i bazy z zakodowanymi hasłami.. bo co to za problem zakodować odpowiednio hasło i dodać je do takiej bazy, aby później móc go z niej wydobyć? " --> Ano taki problem, że w mojej wersji, kiedy podawane jest hasło do rozszyfrowywania haseł MD5, możliwości słowników powstaje dokładnie tyle ile jest różnych hashy. Nikt bowiem nie zna tego administracyjnego, a co za tym idzie - nikt jednoznacznie nie może oprócz admina rozszyfrować haseł userów. (jak również dodać do słownika, bo takich jest za dużo) Knebel, "A czy nie wystarczy zrzucić odpowiedzialność za swoje hasło na użytkownika ? To bardzo proste. " Jasne. Prostota niech zwyciezy a ludzie niech chodza poubierani w skory do swoich jaskin zeby zezrec kawal mamuta... chhhhizys... Rif_Raf "Straszne.Dla testów wyciągnąłem 22 hashe z bazy. Robiłem cyfry+małe litery, do 7 znaków 6 nie udalo się złamać. 3 miały 7 znaków (reszta mniej) 1 miał cyfre " --> I TO SIE NIE ZMIENI !!!! Chyba że obetniecie możliwość używania haseł do 10 znaków czyt. zmniejszycie możliwości forum i naruszycie wygode userów, czego nie polecam robić póki macie metody inne - nie wymagające od userów niczego więcej
Moje zdanie jest niezmienne 1. Funkcja zamieniająca hashe na coś podobnego z użyciem hasła administratorskiego. 2. Administratorskie hasło jako jedyne w bazie (schowane gdzieś pośród innych pseudoMD5) jawnym MD5 (bo tak powinno sie mowic na to "kodowanie"). 3. Funkcja ma być wzajemnie jednoznaczna z racji wstecznej zgodności. 4. Problem słowników eliminowany jest przez hasło administratorskie. 5. Bezpieczeństwo wzrasta diametralnie i póki co (bo przeciez kiedys [czyt. za kilka lat] zawsze okaze sie za malo bezpieczne) takie zabezpieczenia Wam wystarczą. Nie jestescie ani na poziomie banku wtedy ani na takim jak teraz. 6. Obciazenie serwerow bedzie znikome jesli funkcja bedzie dobrze napisana. 7. hasło obowiązkowo musi być kodowane przez JS. Nie wyobrażam sobie możliwości przesnifowania mojego hasła, GaduGadu tak robi i tam mam zupełnie inne hasło
8. Przemo, Paszczak razem ze mną generował słowniki do MD5 i wiem jak to działa. To naprawde NIE DZIAŁA. Powiedz im bo mi nie wierzą noooo
9. Genialnym sposobem nie bodzącym w wygode userów jest tutorial jak zakładać hasło i mały skrypcik pokazujący bezpieczeństwo hasła oraz piszący co jeszcze możnaby w nim (haśle) zmienić, żeby było bezpieczniejsze. 10. Jak jeszcze nie macie to oczywiste jest wymuszanie podstawowej granicy bezpieczeństwa jaką jest różnica między loginem a hasłem. Co jak co, wygoda wygodą, ale debilizm tępić trzeba i już. To narazie tyle. Kurcze, ten skrypcik... zadziwiające - prostota i genialność zarazem A przeciez juz widzialem takie coś choćby w instalatorach od Linucha i wcześniej na to nie wpadłem noo
Gratulacje Gaw !!!
PS- Bezpieczeństwo forum nie będzie nigdy obejmować keyloggerów (chociaż wyobrażam sobie i takie zabezpieczenia ale moze juz nie na forach ) ani spoglądania przez ramie... to nie o to chodzi (paranoja o jakiej piszecie ). Chodzi aby sie zabezpieczyć przed atakiem na baze oraz sniffingiem i słownikowym atakiem na pasek adresu ew. jeśli kiedyś tam "leżą" hashe. Reasumując, zabezpieczacie się dokładnie przed tym, co miało miejsce na Republice. A czas na informowanie ze coś się stało zależy właśnie od komplikacji szyfrowania. I nikt mi nie powie że jest inaczej, bo to wynika z logiki, każdy kryptograf to powie. Niekiedy poprzez komplikację szyfrowania BARDZIEJ OPŁACALNE JEST BRUTEFORCE anieżeli szukanie algorytmu (przykład? PENTAGON - oni mają czym bruteować ) Czyli dobra funkcja = więcej czasu na informowanie i szukanie sprawcy.
Pozdrawiam i idę za przeproszeniem spać dobranoc
pecador - 09-01-2006, 02:26
Jakie administracyjne? mówisz o tym, żeby łączyć hasło podane dodatkowo przez admina z hasłem usera? przecież i to będzie można wydobyć.. i to bez najmniejszych problemów.
Użytkownicy nie czytają tutoriali. Oni chcą się jak najszybciej zarejestrować na forum, a nie czytać regulamin, czy jakiś tutorial. I dlatego dobrym pomysłem jest skrypt w js, bo user szybko będzie mógł zobaczyć, czy jego hasło jest bezpieczne. 50k07 - 09-01-2006, 08:50 Leone, piszesz, że "Użytkownicy nie czytają tutoriali." Dobrze. Ale w razie jakiegoś włamu bęedzie chociaż gdzieś napisane, jakie hasła proponuja zakładać administracja. I bynajmniej chodziło mi o połączenie tutoriala (takiego naprawde krótkiego) ze skryptem w JS. Piszesz też, "Jakie administracyjne? mówisz o tym, żeby łączyć hasło podane dodatkowo przez admina z hasłem usera? przecież i to będzie można wydobyć.. i to bez najmniejszych problemów. " ...No powiedzmy, że tak.. tylko z drugiej strony tego wyścigu czeka na nas to sowo którego tak często używacie : "paranoja". Trzeba znalezc zloty srodek, poziom bezpieczenstwa ktory wystarczy, nie tylko zabezpieczenie MD5 ani nie tokeny od RSA... Wg. mnie taki środek znajduje się stosując algorytmy oparte na mojej teorii, bo przecież kto złamie naraz 0) metodę kodowania i pozna że to wogole nie hashe? 1) hash długiego hasła administracyjnego? 2) funkcję zamieniającą hashe? 3)hashe userów... Rozumiem, OK. Są takie osoby... pytanie tylko ile ich jest a ile osób które złamią poprostu 4 znakowe hasło pod MD5 ? Chodzi o wystarczający poziom bezpieczeństwa, niekoniecznie totalnego bezpieczeństwa bo czegoś takiego nie ma. Jednocześnie zachowuje się kompatybilność i eliminuje się słowniki. A teraz time to school
p01ss0n - 14-01-2006, 01:40 A czy zamiast kombinować jak koń pod górkę z sztucznym "liftingiem" starego i niebezpiecznego MD5, nie łatwiej by było użyć Blowfish`a ?? (teraz uprzedzam pytanie) Rzeczą jasną jest, że każde zabezpieczenie można złamać tylko jest jeden problem. Obecnie każdy kto chce może łamać hashe MD5, programów jest pełno, stron również Natomiast jeżeli chodzi o algorytm blowfish tu sprawa się komlikuje bo:
po pierwsze nie każdy byle szkodnik o nim słyszał, a jeszcze mniej osób umie go złamać. No i nie oszukujmy się, ci którzy umieją złamać blowfish raczej nie bawią się w łamanie haseł użytkowników na forach... Rozważcie sprawę. irekk - 14-01-2006, 02:06 nie no nie robmy sobie przeszkod, jak ktos nie dba o swoje haslo to wiadomo ze i taki blowfish nie pomoze (metoda slownikowa) a takie kilkuliterowe (4-5znakow) haselko pojdzie wczesniej czy pozniej gaku - 14-01-2006, 19:04 a blowfisha mozna uzywac w php?? irekk - 14-01-2006, 19:10 http://www.koders.com/php...EF031783C5.aspx gaku - 14-01-2006, 19:12 myslalem ze jest juz wbudowana funkcja 
p01ss0n - 15-01-2006, 00:16
Hashowane MD5 raczej prędzej, a blowfish później.... Poza tym na prawdę nie wiele osób chciałoby łamać blowfish`a ze względu na małą popularność. Sam fakt innego hashowania niż MD5 jest dla wielu psychiczną barierą nie do przeskoczenia.... mówię to całkiem poważnie. Paszczak000 - 15-01-2006, 07:49 Ale to nie ma sensu. Łatwe hasło łamiesz BF i nie poradzi tu żaden algorytm. |
||||||||||||||
