В рейтинге участвует:

групп:

каналов:

Виртуальный сервер на SSD - недорого!

Аренда выделенных и виртуальных серверов (VDS/VPS), хостинг, аренда IP-адресов, администрирование, круглосуточная поддержка

qwarta.ru подробнее

Резервное копирование с проверкой на вирусы!!!

Удобный сервис создания резервных копий на любой сервер сети интернет. Отслеживайте изменения, проверяйте на вирусы. Надежно защитите свой бизнес!

go.backupland.com

Выбираете сервер? Любая конфигурация на заказ!

Аренда физических серверов любых конфигураций под любые запросы - 1С бухгалтерия, игровые сервера, нагруженные проекты, интернет-магазины!

qwarta.ru подробнее

Size: a a a

Обсуждения техдирские

1231 membersпожаловаться на группу
2020 December 10

АП

Александр Поволоцкий... in Обсуждения техдирские
Andrey Shetukhin
Забрутфорсить пароль из MD5(salt, password) в 2020-м году - очень несложная задача. На хорошем GPU достигается скорость в 8-12 миллиардов хэшей MD5 в секунду. Это значит, что пароль в 8 цифробуквенных символов ломается менее чем за несколько часов. Если речь идёт о целевой атаке, а не переборе всех пользователей, то можно считать, что  MD5(salt, password) это тоже самое, что и плейнтекст.
Я чуток о другом. Если система не защищена от радуги, то чем больше проверяемых паролей, тем больше успешность построения таблицы. Если задача "найти хотя бы один пароль пользователя" - то вообще объем утечки начинает играть колоссальную техническую роль
источник
13:32пожаловаться#1

АП

Александр Поволоцкий... in Обсуждения техдирские
Andrey P
Ты говоришь словами того персонажа, про которого я писал здесь: "каждый сотрудник должен быть загружен на 146%".
"Если мы хотим заебать его быстрее, чем он включится в рабочий процесс, нам не проще ли его не нанимать?"
источник
13:32пожаловаться#2

AS

Andrey Shetukhin in Обсуждения техдирские
Александр Поволоцкий
Я чуток о другом. Если система не защищена от радуги, то чем больше проверяемых паролей, тем больше успешность построения таблицы. Если задача "найти хотя бы один пароль пользователя" - то вообще объем утечки начинает играть колоссальную техническую роль
Это да.
источник
13:33пожаловаться#3

АП

Александр Поволоцкий... in Обсуждения техдирские
Andrey Shetukhin
Забрутфорсить пароль из MD5(salt, password) в 2020-м году - очень несложная задача. На хорошем GPU достигается скорость в 8-12 миллиардов хэшей MD5 в секунду. Это значит, что пароль в 8 цифробуквенных символов ломается менее чем за несколько часов. Если речь идёт о целевой атаке, а не переборе всех пользователей, то можно считать, что  MD5(salt, password) это тоже самое, что и плейнтекст.
А вообще - нужно было ту картинку с диалогом на диск сохранить. Очень она .... вечная.
источник
13:34пожаловаться#4

AS

Artem Shpynov in Обсуждения техдирские
Andrey P
Ты говоришь словами того персонажа, про которого я писал здесь: "каждый сотрудник должен быть загружен на 146%".
это пока он в отпуске же
источник
13:34пожаловаться#5

PD

Phil Delgyado in Обсуждения техдирские
Ruslan
А почему бессмысленно?
А там очень мало растет сложность перебора, лучше минимальную длину на один символ увеличить. А при современных алгоритмах типа bcrypt и более поздних даже при наличии базы перебор 'все подряд' бесполезен. Про перебор через web я вообще молчу, если пароль не из списка популярных, то его не подобрать.
источник
13:36пожаловаться#6

C

Combot in Обсуждения техдирские
🌟 Phil Delgyado has reached level 8!
источник
13:36пожаловаться#7

AS

Andrey Shetukhin in Обсуждения техдирские
Ruslan
А почему бессмысленно?
Потому, что сложность перебора сильно зависит от показателя, а не от основания.
источник
13:46пожаловаться#8

AS

Andrey Shetukhin in Обсуждения техдирские
Phil Delgyado
А там очень мало растет сложность перебора, лучше минимальную длину на один символ увеличить. А при современных алгоритмах типа bcrypt и более поздних даже при наличии базы перебор 'все подряд' бесполезен. Про перебор через web я вообще молчу, если пароль не из списка популярных, то его не подобрать.
bcrypt - плохой вариант, кстати.
источник
13:48пожаловаться#9

АП

Александр Поволоцкий... in Обсуждения техдирские
Andrey Shetukhin
Поэтому у нас используется PKCS5_PBKDF2_HMAC_SHA1 с более чем 100 000 раундов.
Ога. Когда я буду делать что-то, требующее не макетной защищенности, поспрашиваю. Пока обхожусь SHA1
источник
13:48пожаловаться#10

AS

Andrey Shetukhin in Обсуждения техдирские
Александр Поволоцкий
Ога. Когда я буду делать что-то, требующее не макетной защищенности, поспрашиваю. Пока обхожусь SHA1
Выглядит примерно так:
ntries 131072
passwd_salt 3O4sj7SeHEsJp4z1c
passwd_hash 8fcfddef162111e188cb5746f5dd91350afb3f0431f0281fb3a6c495df672062ab6fffe77969852fab64a395f0a96f64
источник
13:51пожаловаться#11

AS

Andrey Shetukhin in Обсуждения техдирские
Даже если утечёт, толку от этого не будет.
источник
13:51пожаловаться#12

АП

Александр Поволоцкий... in Обсуждения техдирские
Andrey Shetukhin
Выглядит примерно так:
ntries 131072
passwd_salt 3O4sj7SeHEsJp4z1c
passwd_hash 8fcfddef162111e188cb5746f5dd91350afb3f0431f0281fb3a6c495df672062ab6fffe77969852fab64a395f0a96f64
Этого я ни запоминать, ни записывать не  буду. Когда мне будет нужно, я буду знать, у кого уточнить текущий золотой стандарт. В макете, как ты понимаешь, есть плейнтекст/не плейнтекст. Заменить MD5 на PKCS%_EKLMN_COOLCRYPT_TLDR_1000000 - вопрос, как правило, уровня "не забыть" )))
источник
13:53пожаловаться#13

АП

Александр Поволоцкий... in Обсуждения техдирские
Хотя вот криптостойкость MD5, стремительно идущая к криптостойкости plaintext, придает старому анекдоту новых красок
источник
13:56пожаловаться#14

АЛ

Андрей Лесных... in Обсуждения техдирские
Александр Поволоцкий
Хотя вот криптостойкость MD5, стремительно идущая к криптостойкости plaintext, придает старому анекдоту новых красок
это как сигналка на авто. чтоб кто попало не шастал.
источник
13:57пожаловаться#15

АП

Александр Поволоцкий... in Обсуждения техдирские
Андрей Лесных
это как сигналка на авто. чтоб кто попало не шастал.
"Антипионер", который вот-вот начнут вскрывать бесплатной программой с телефона))
источник
13:59пожаловаться#16

АЛ

Андрей Лесных... in Обсуждения техдирские
пора привлекать настоящих экспертов по безопасности. тех самых бабушек вахтерш которые всегда знали кто-куда-зачем и не пускали проходимцев ни в общагу ни на секретный охраняемый объект.
источник
14:01пожаловаться#17

PD

Phil Delgyado in Обсуждения техдирские
Andrey Shetukhin
bcrypt - плохой вариант, кстати.
Уже устаревший, но я забываю, что там у нас сейчас
источник
14:06пожаловаться#18

PD

Phil Delgyado in Обсуждения техдирские
Со стойкостью и к квантовым компьютерам, насколько я помню.
источник
14:07пожаловаться#19

PD

Phil Delgyado in Обсуждения техдирские
А чем плох bcrypt? Года три назад был лучшим для этих целей, насколько помню
источник
14:07пожаловаться#20