Kilka znaków zamiast całego hasła - jak to działa? Opcje

[NetBeans]

Cześć.
Pewnie większość z Was kojarzy metody logowania na stronach banków. Jest to wykonane w ten sposób, że musimy podać tylko kilka znaków naszego hasła (reszta jest zablokowana, tak jakby już były wpisane). Zastanawiam się w jaki sposób to działa. Zakładam, że hasła są hashowane, więc w jaki sposób porónywane są ciągi, skoro są niekompletne. Nie jest chyba możliwe, że system wie jakie znaki hasła mamy pod daną cyferką (widoczne na obrazku) i uzupełnia ciąg do porównania z hashem. Do tego "szare" pola są generowane losowo. Interesuje mnie zasada działania, nie proszę o żaden gotowy kod etc.
Pozdrawiam. (IMG:style_emoticons/default/smile.gif)

Wspomniany obrazek:
(IMG:http://i.imgur.com/Dbb16Z6.png)

[Crozin]

Przy okazji, algorytmy dostarczane przez funkcję password_hash() faktycznie są bezpieczniejsze od SHAx? Warto używać tej funkcji? I jak później porównać hash z bazy z tym co poda użytkownik skoro nie wiemy jaka sól została użyta?

Główną zaletą Blowfisha w porównaniu do SHA-x jest czas generowania, który można odpowiednio dostosować. Czas generowania jednego hasha Blowfish będzie na poziomie dziesiętnych części sekundy, zaś SHA-x dziesięcio- czy stutysięcznych sekundy. Przy atakach typu BruteForce ma to ogromne znaczenie. Hash SHA-x można by niby powtarzać wielokrotnie w celu uzyskania podobnego czasu generowania, ale funkcje z tej rodziny nie są zaprojektowane do tego typu działania, stąd ich bezpieczeństwo spada.

Ten post edytował Crozin 18.07.2013, 13:31:29