Skip to main content

Linha do tempo de Scrypt, Bcrypt ou qualquer outra coisa

Licença atual: CC BY-SA 3.0

6 eventos
quando alternar formato o que por licença comentário
27/02/2014 às 21:51 comentário adicionado mgibsonbr Isso foi só um exemplo. O que quero dizer é que o esforço de se descobrir o algoritmo (e sua implementação) é ínfimo em relação ao esforço de crackeá-lo.
27/02/2014 às 20:02 comentário adicionado Flávio Granato A minha dúvida agora é pq ele chutaria logo o Scrypt? Concordo que o acesso à base é mais importante, mas não vejo tudo em um lugar.
27/02/2014 às 19:27 histórico editada mgibsonbr CC BY-SA 3.0
added 1917 characters in body
27/02/2014 às 19:11 comentário adicionado mgibsonbr Na verdade, o ideal é que o atacante nem sequer ganhe acesso aos seus hashes (i.e. proteja-se de SQL Injection). Mas se ganhar, tanto faz como está representado. Quanto a tentar esconder o sal, isso é segurança por obscurantismo, o que não é ruim como adendo a um sistema de segurança, mas não pode servir de base para a segurança. Vou atualizar minha resposta com um exemplo.
27/02/2014 às 19:06 comentário adicionado Flávio Granato Creio que o salt, iterações e outros parâmetros devam ser tão secretos quando o conteúdo a ser calculado(hash), pois facilita muito o trabalho de quebra, claro, não diminui o custo de força-bruta. Sobre o salt, a diferença que faz é saber que os 16bytes finais ou iniciais ou qualquer que seja é o salt e que para um atacante isso não fique explicito e separado para que ele possa ter 50% do caminho adiantado. Se tirassem o $ eu já estaria satisfeito
27/02/2014 às 18:59 histórico respondeu mgibsonbr CC BY-SA 3.0