Kilka znaków zamiast całego hasła - jak to działa? Opcje

[NetBeans]

Cześć.
Pewnie większość z Was kojarzy metody logowania na stronach banków. Jest to wykonane w ten sposób, że musimy podać tylko kilka znaków naszego hasła (reszta jest zablokowana, tak jakby już były wpisane). Zastanawiam się w jaki sposób to działa. Zakładam, że hasła są hashowane, więc w jaki sposób porónywane są ciągi, skoro są niekompletne. Nie jest chyba możliwe, że system wie jakie znaki hasła mamy pod daną cyferką (widoczne na obrazku) i uzupełnia ciąg do porównania z hashem. Do tego "szare" pola są generowane losowo. Interesuje mnie zasada działania, nie proszę o żaden gotowy kod etc.
Pozdrawiam. (IMG:style_emoticons/default/smile.gif)

Wspomniany obrazek:
(IMG:http://i.imgur.com/Dbb16Z6.png)

[pyro]

Atak statystyczny co prawda ma zastosowanie do długich tekstów, ale zakładam, że tutaj też dałby radę. Mało tego - możesz na pałę próbować przyporządkować poszczególne litery hashom i sprawdzać, czy uda Ci się zalogować na działającym serwisie. Wcale nie musisz do tego celu używać bruteforce. A jak napisałem wcześniej - jeśli masz konto z 20-znakowym hasłem, to automatycznie znasz 20 znaków ze zdobytego słownika.

Cześć. Jeżeli jest sobie "serwisik", gdzie jest wolna rejestracja, da się robić multikonta albo przynajmniej dawać długie hasła to rzeczywiście miałoby sens. Masz rację. Ale biorąc pod uwagę rzeczywistość i gdzie tego typu logowania są stosowane mogłoby być ciężko (IMG:style_emoticons/default/wink.gif) .

// EDIT

Poza tym wtedy jakiekolwiek solenie ani nawet hashowanie nie miałoby sensu, bo dla każdej literki byś znał jej hash. Sól niepotrzebna (nawet jak unikalna dla każdej literki). Chyba, że generowanie na podstawie zewnętrznych danych związanych z czymś tam np. loginem użytkownika.

Pomyśl, ale Ty. Dlaczego uważasz, że tylko takie dwie możliwości są?

A jakie są inne możliwości wstawienia soli dla jednej literki jak nie przed i jak nie po? Przykładowo pomiędzy brzuszkiem literki "b", a jej górnym ogonkiem (IMG:style_emoticons/default/baaasmiley.gif) ?

Ten post edytował pyro 17.07.2013, 09:49:19

[drPayton]

(...)
A jakie są inne możliwości wstawienia soli dla jednej literki jak nie przed i jak nie po? Przykładowo pomiędzy brzuszkiem literki "b", a jej górnym ogonkiem (IMG:style_emoticons/default/baaasmiley.gif) ?

A, no przy jednej literce to oczywiście. No i w sumie tego dotyczy temat, na usprawiedliwienie mam to, że trochę zboczył z głównego nurtu (IMG:style_emoticons/default/wink.gif)

(...)
Więc, jeśli chodzi o solenie to dlaczego nie zastosować równocześnie stałej soli (zahardkodowanej, z konfiga, itd.) i soli zmiennej dla każdego użytkownika z bazy danych?
(...)

Yep, dokładnie tak imho powinno być to robione. Oczywiście zysk nie jest wielki (zabezpieczamy się przed wyciekiem *tylko* bazy danych lub *tylko* kodu) ale dobre i to, skoro koszt jest w zasadzie zerowy.


Ten post edytował drPayton 17.07.2013, 21:24:17