궁극 해시 보호 - 개념 토론

Question

좋습니다. 따라서 해시의 모든 문제점은 사용자가 15 자 이상의 암호를 입력하지 않아야한다는 것입니다. 대부분은 4-8자를 사용하여 공격자가 무지개 테이블로 쉽게 깨지도록 만듭니다.

해결 방법, 사용자 소금을 사용하여 해시 입력을 더 복잡하고 50ch 이상으로 만들면 테이블을 생성 할 수 없게됩니다 (크기가 큰 문자열의 경우 큰 방법). 또한 각 사용자에 대해 새 테이블을 만들어야합니다. 문제 : DB를 다운로드하면 사용자 소금을 얻을 수 있으므로 충분히주의를 기울이면 다시 사각형으로 돌아갑니다.

해결책 "사이트"후추와 사용자 소금을 사용하면 DB를 얻더라도 설정 파일을 알아야합니다. 문제점 : DB에 들어갈 수 있다면 파일 시스템에 들어가서 사이트 후추를 발견 할 수 있습니다.

이렇게 알려진 모든 것 - 공격자가 귀하의 사이트에 들어가서 모든 것을 얻는다고 가정합니다. 이제 어떻게하니?

토론의이 시점에서, 대부분의 사람들은 "누가이 시점에서 걱정합니까?"라고 대답합니다. 그러나 그것은 "나는 다음에 무엇을해야할지 모르기 때문에 그다지 중요하지 않다"고 말하는 것이 싼 방법 일뿐입니다. 슬프게도, 그 밖의 모든 곳에서 나는이 질문에 답장을했다. 대부분의 프로그래머들은 매우 중요한 부분을 놓치고 있음을 보여줍니다.

귀하의 사이트가 사이트의 다른 95 %와 비슷하고 사용자 데이터 (또는 완전히 차단 된 액세스)와 같은 이미지가 스쿼트에 가치가없는 이미지를 만들 수 있습니다. 침입자는 "Bob"이 은행 사이트에서와 같은 방식으로 사이트에서 동일한 암호를 사용한다는 것을 알고 있기 때문에 사용자 "Bob"중 하나를 상대로 발생합니다. 그는 또한 밥이 거기에서 자신의 생명을 구할 수 있음을 알고 있습니다. 이제 공격자가 해시 사이트를 해킹 할 수 있다면 나머지는 케이크 조각이됩니다.

여기 내 질문입니다 - 어떻게 추적 가능한 경로없이 암호의 길이를 연장합니까? 또는 해싱 프로세스를 어떻게 복잡하게 만들어 적시에 복제 할 수 있습니까? 내가 알아 낸 유일한 점은 해시를 수천 번 다시 해시하고 최종 무지개 표를 만드는 데 소요되는 시간을 1,000 배로 늘릴 수 있다는 것입니다. 이는 공격자가 테이블을 만들 때 동일한 경로를 따라야하기 때문입니다.

다른 아이디어?

Answer 1

"내가 생각해 낸 유일한 점은 해시를 수천 번 해시로 다시 해쉬하고 최종 무지개 표를 만드는 데 걸리는 시간을 1,000 배로 늘릴 수 있다는 것입니다."

정확히 Blowfish 기반의 BCrypt 해시가 무엇에 관한 것이 아닌가요? brute force cracking (그리고 무지개 테이블 생성)이 취소 할 수 있도록 해시를 계산하는 데 걸리는 시간이 증가합니까?

에 대해 자세히 적응 비용 해싱 알고리즘 "우리는 적응 비용 (...) 두 알고리즘 을 제시": http://www.usenix.org/events/usenix99/provos.html

Answer 2

방법 "고추"아이디어를 복용하고 구현하는 방법에 대한 암호를 해싱하기 위해 별도의 서버에 설치하고 가능한 한 간단하고 안전한 서비스를 제외하고는 잠겨 있습니다. 악용을 막기 위해 속도 제한을 적용 할 수도 있습니다. 공격자에게이 서버에 대한 액세스 권한을 얻거나 후추 엔지니어링, 사용자 지정 RNG 및 일반 텍스트 확장 알고리즘을 리버스 엔지니어링하여 극복 할 수있는 하나의 장애물을 부여합니다.이에

물론

그들이 잠시 동안 사용자 활동에 evesdrop 단지 수있는 모든에 액세스 할 수있는 경우 ...

Answer 3

좋아 ... uhmm, 내 의견 :

• 당신은 할 수 없습니다 원래 암호를 다시 해시에서 가져옵니다. 나는 해시를 가지고 있는데 해시에 맞는 암호를 찾을 수 있지만이 암호를 사용하는 다른 사이트에 로그인 할 수는 없습니다. 모두 소금을 사용한다고 가정하고 가정합니다. 실제 문제는 없습니다.
• 누군가가 DB를 얻거나 설정을 얻는 사이트를 얻는다면 어쨌든 망 쳤어.
• 관리자 또는 다른 수퍼 계정의 경우 두 번째 평균 확인, 즉 특정 IP 범위에 대한 로그인 제한, 클라이언트 측 SSL 인증서 사용 등을 구현하십시오.
• 일반 사용자에게는 많은 기회가 없습니다. 당신이 그들의 암호로하는 모든 일은 어떤 설정이나 데이터베이스에 저장 될 필요가 있습니다. 그래서 사이트를 가지고 있다면, 나는 당신의 마술 뱀 기름도 가지고 있습니다.
• 강력한 비밀번호 제한이 항상 작동하지는 않습니다. 일부 사이트에서는 비밀번호에 숫자가 있어야하므로 대부분의 사용자는 일반적인 비밀번호에 1을 더합니다.

그래서 여기에서 달성하고자하는 것이 확실하지 않습니까? 사용자 암호 앞에 소금을 추가하고 두 번째 인증 수단으로 관리자 계정을 보호하는 것이 가장 좋은 방법 인 것으로 나타났습니다. 사용자가 적절한 암호를 선택하지 않고 강제로 실행할 수 없기 때문입니다.

Answer 4

솔루션, 해시 입력이 더 복잡하게 사용자의 소금을 사용하고 50chars 이상 그렇게 그들은 이 ( 문자열 크기에 큰하는 방법) 테이블을 생성 할 수 없을 것이다. 또한 사용자 각각에 대해 새 테이블을 만들어야합니다. 문제 : db 을 다운로드하면 사용자 소금을 얻을 수 있으므로 으로 충분하면 으로 돌아갑니다.

이러한 추론은 그릇된 것입니다.

레인보우 테이블 (일반 사전 공격의 특정 구현)은 시간 공간을 제공합니다. 그러나 사전 (무지개 또는 기타)을 생성하는 데는 많은 시간이 필요합니다. 다중 해시에 대해 사용될 수있는 경우에만 가치가 있습니다. 소금이 이것을 막습니다. 소금은 비밀이 될 필요가 없으며 주어진 암호에 대해 예측할 수 없어야합니다. 이것은 특정 소금에 대해 생성 된 사전을 공격자가 무시할 가능성을 최소화합니다.

Answer 5

나는 누군가가 해결책을 가지기를 바랬지 만 슬프게도 내가 처음 질문을 올렸을 때 나는 더 나아지지 않았다. 할 수있는 일은 없지만 무지개 테이블 (또는 무차별 대입) 해시 생성의 전체 프로세스 속도를 늦추려면 시간 소모적 인 알고리즘이나 1,000의 시간을 다시 해쉬하는 것이 필요합니다.