Linha do tempo de Scrypt, Bcrypt ou qualquer outra coisa
Licença atual: CC BY-SA 3.0
6 eventos
quando alternar formato | o que | por | licença | comentário | |
---|---|---|---|---|---|
27/02/2014 às 21:51 | comentário | adicionado | mgibsonbr | Isso foi só um exemplo. O que quero dizer é que o esforço de se descobrir o algoritmo (e sua implementação) é ínfimo em relação ao esforço de crackeá-lo. | |
27/02/2014 às 20:02 | comentário | adicionado | Flávio Granato | A minha dúvida agora é pq ele chutaria logo o Scrypt? Concordo que o acesso à base é mais importante, mas não vejo tudo em um lugar. | |
27/02/2014 às 19:27 | histórico | editada | mgibsonbr | CC BY-SA 3.0 |
added 1917 characters in body
|
27/02/2014 às 19:11 | comentário | adicionado | mgibsonbr | Na verdade, o ideal é que o atacante nem sequer ganhe acesso aos seus hashes (i.e. proteja-se de SQL Injection). Mas se ganhar, tanto faz como está representado. Quanto a tentar esconder o sal, isso é segurança por obscurantismo, o que não é ruim como adendo a um sistema de segurança, mas não pode servir de base para a segurança. Vou atualizar minha resposta com um exemplo. | |
27/02/2014 às 19:06 | comentário | adicionado | Flávio Granato | Creio que o salt, iterações e outros parâmetros devam ser tão secretos quando o conteúdo a ser calculado(hash), pois facilita muito o trabalho de quebra, claro, não diminui o custo de força-bruta. Sobre o salt, a diferença que faz é saber que os 16bytes finais ou iniciais ou qualquer que seja é o salt e que para um atacante isso não fique explicito e separado para que ele possa ter 50% do caminho adiantado. Se tirassem o $ eu já estaria satisfeito | |
27/02/2014 às 18:59 | histórico | respondeu | mgibsonbr | CC BY-SA 3.0 |