[PHP] Langere code

Gestart doorDylan86 reacties156 weergaven

87 berichten · pagina 5 van 6

Rik

Lid

Berichten
18.393
Reputatie
0
Punten
0,04
Lid sinds
Laatst gezien
Luister dan ook;

Dat is de user specifieke salt.
Je hebt ook een general salt (salt die voor iedereen gelijk is, staat dus in de source).

Doordat je de user specifieke salt erbij hebt is het bruteforcen door middel van "salt + wachtwoord" niet meer mogelijk. Je moet namelijk telkens de nieuwe userspecifieke salt ophalen. Dit kost extra tijd en resources. En schrikt mogelijke hackers wellicht af.
Het is daarmee dus een kleine laag extra veiligheid.

Je moet niet (zoals ik al tig keer heb gezegd) enkel en alleen user-specifieke salts gebruiken. Dat is uiteraard gewoon vragen om moeilijkheden omdat je dan met het ophalen van de database al klaar bent.
0
Berichten
35.796
Reputatie
1
Punten
0,00
Lid sinds
Laatst gezien
Aarclay schreef:
En een salt in de database zetten, is hetzelfde als de sleutel naast mijn voordeur hangen als ik naar mijn werk ga.
Dat is natuurlijk pure onzin. Met de sleutel van je huis kan ik zo naar binnen, maar een salt in een database daar kan vrijwel niemand bij, en als hij uitlekt dan heb je alsnog een wachtwoord nodig om binnen te komen, met alleen de salt ben je niks.

Je moet je systeem zo ontwerpen dat als iemand de salt EN de encryptiemethode weet, dat hij dan nog niet binnen 5 minuten in kan loggen. En zoals ik al een paar keer heb gezegd: daar is bcrypt uitermate goed geschikt voor. En als je dat niet vertrouwt dan gooi je er nog een keer md5 overheen.

Als iemand je source en database heeft dan heeft hij je salt, hoe goed je die ook verstopt, en daarom moet je zorgen dat hij zelfs met die salt nog vrij weinig kan.
0
Berichten
10.421
Reputatie
4
Punten
0,00
Lid sinds
Laatst gezien
Lennard schreef:
En als je dat niet vertrouwt dan gooi je er nog een keer md5 overheen.
Ik dacht toch echt dat hoe vaker je er md5 over heen gooit, hoe groter de kans op een collission is?
En dat wachtwoord met salt is moeilijk te kraken, maar als je met een MITM-attack al een wachtwoord kan onderscheppen....
0
Berichten
35.796
Reputatie
1
Punten
0,00
Lid sinds
Laatst gezien
Aarclay schreef:
Eerdere citaten tonen
Lennard schreef:
En als je dat niet vertrouwt dan gooi je er nog een keer md5 overheen.
Ik dacht toch echt dat hoe vaker je er md5 over heen gooit, hoe groter de kans op een collission is?
En dat wachtwoord met salt is moeilijk te kraken, maar als je met een MITM-attack al een wachtwoord kan onderscheppen....
Ik zeg ook niet dat je er tig keer md5 overheen moet halen... één keer kan geen kwaad.
En een man in the middel heeft helemaal niks met encryptie en salts te maken.
0
Berichten
10.421
Reputatie
4
Punten
0,00
Lid sinds
Laatst gezien
Nee, maar wel met onderscheppen van passworden, en als je de salt weet als die in de database staat?
Salts horen daarom niet in de database, lekker in de source zetten buiten je webroot, en zo lastig mogelijk. Eventueel een ander statisch gegeven die bij de user hoort.

Lijkt mij gewoon het beste smile
0
Berichten
35.796
Reputatie
1
Punten
0,00
Lid sinds
Laatst gezien
Aarclay schreef:
Nee, maar wel met onderscheppen van passworden, en als je de salt weet als die in de database staat?
Huh? Als je het wachtwoord onderschept dan kun je sowieso inloggen, daar heb je geen salt voor nodig. Als ik hier de salt en hashmethode van mijn wachtwoord post dan is de kans oneindig klein dat jij binnen een jaar mijn wachtwoord hebt.
0
Berichten
8.602
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Wat is precies een collision?

Op mijn aankomende website gebruik ik dit:

md5(md5(sha1(salt - wachtwoord - salt))).

Is dit veilig?
0
Rik

Lid

Berichten
18.393
Reputatie
0
Punten
0,04
Lid sinds
Laatst gezien
^ Collision is als 2 verschillende wachtwoorden dezelfde hash genereren.
0
Berichten
8.649
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Rik schreef:
^ Collision is als 2 verschillende wachtwoorden dezelfde hash genereren.
Ik wist niet dat dit mogelijk was redface
Is er geen hashcode waarbij dit niet kan voorkomen?
0
Berichten
8.602
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Rik schreef:
^ Collision is als 2 verschillende wachtwoorden dezelfde hash genereren.
Ah oké, maar is hoe ik het heb wel veilig of niet?
0
Berichten
3.314
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Antonn schreef:
Eerdere citaten tonen
Rik schreef:
^ Collision is als 2 verschillende wachtwoorden dezelfde hash genereren.
Ik wist niet dat dit mogelijk was redface
Is er geen hashcode waarbij dit niet kan voorkomen?
Volgens mij niet, aangezien de reeks van letters en cijfers die mogelijk zijn in een zin etc veel groter is dan het aantal tekens en letters per volgorde die in een hash kan staan.

Je kunt zeg mr bijna oneindig veel verschillende tekens achter elkaar zetten, bijv 2 nieuwsberichten etc, terwijl een hash, die meestal bijv 16 of 32 tekens lang is maar uit een beperkte hoeveelheid tekens kan bestaan.

Er zijn 2 brieven die precies dezelfde hash hebben, die staan wel ergens op google.
0
Berichten
3.112
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Kyron schreef:
Eerdere citaten tonen
Antonn schreef:
Eerdere citaten tonen
Rik schreef:
^ Collision is als 2 verschillende wachtwoorden dezelfde hash genereren.
Ik wist niet dat dit mogelijk was redface
Is er geen hashcode waarbij dit niet kan voorkomen?
Volgens mij niet, aangezien de reeks van letters en cijfers die mogelijk zijn in een zin etc veel groter is dan het aantal tekens en letters per volgorde die in een hash kan staan.

Je kunt zeg mr bijna oneindig veel verschillende tekens achter elkaar zetten, bijv 2 nieuwsberichten etc, terwijl een hash, die meestal bijv 16 of 32 tekens lang is maar uit een beperkte hoeveelheid tekens kan bestaan.

Er zijn 2 brieven die precies dezelfde hash hebben, die staan wel ergens op google.
http://th.informatik.uni-mannheim.de/people/lucks/HashCollisions/
0
Berichten
35.796
Reputatie
1
Punten
0,00
Lid sinds
Laatst gezien
Als je zorgt dat een wachtwoord maximaal 20 karakters kan bevatten dan is de kans op een collision zo goed als 0.
0
Berichten
8.649
Reputatie
0
Punten
0,00
Lid sinds
Laatst gezien
Zo erg is collision toch niet?
0
Berichten
35.796
Reputatie
1
Punten
0,00
Lid sinds
Laatst gezien
Nouja, als er een collision is dan hoef je maar één van die 2 wachtwoorden te hebben om in te loggen, en de kans dat je er 1 van die 2 raadt is natuurlijk groter dan dat je één specifiek wachtwoord raadt.
0

Jouw reactie

Deel je idee, stel een vraag of help een ander verder.

Editor laden…

Praat mee met de One2xs-community.

Inloggen om te reageren