3

A pouco tempo precisava descobrir qual hash havia sido utilizado para salvar a senhas no banco de forma que as mesmas não fossem salvas direto de acordo com o que o usuário lança no momento de seu cadastro. Pesquisando encontrei o seguinte site, que se você sabe a senha inicial você consegue ver os resultados que as hash's vão gerar em cima dessa senha. isso me pareceu de certa forma vulnerável pois assim que eu descobri qual Hash havia sido utilizada, e como eu tenho acesso acesso ao banco onde as senha ficam salvas, bastou que eu comparasse o que estava armazenado no banco com o que o site me gerava e assim descobri qual Hash havia sido utilizado.

Minha questão é:

Até onde utilizar uma cadeia salt na senha original auxilia para que a senha seja ainda mais segura, pois seria necessário além de acessar o banco e ter acesso as senhas seria necessário saber qual cadeia salt foi utilizada, tornando assim mais difícil descobrir qual a senha original cadastrada pelos usuários.

Link para conteúdo sobre Salt

5
  • Uai, você mesmo já respondeu sua duvida rs => necessário além de acessar o banco e ter acesso as senhas seria necessário saber qual cadeia salt foi utilizada Commented 22/05/2017 às 20:37
  • Minha questão é, se realmente faz diferença utilizar uma cadeia Salt em cima da senha original antes de aplicar o Hash, pois hoje em dia é aplicado uma hash em cima da senha inicial cadastrada e já é salva no banco direto, isso pode ser algo vulnerável
    – R.Santos
    Commented 22/05/2017 às 20:39
  • Qual algoritmo está usando? SHA1? SHA512? Commented 22/05/2017 às 20:52
  • @PauloSérgioDuff SHA 256
    – R.Santos
    Commented 22/05/2017 às 20:54
  • 2
    É uma boa pergunta esta sua. Creio que todos os pontos levantados já estejam respondidos com detalhes em Como fazer hash de senhas de forma segura?,
    – Largato
    Commented 22/05/2017 às 22:13

1 Resposta 1

3

Não existe um ponto em que seja totalmente seguro usar um algoritmo de hash.

Um problema é o ataque de dicionário em cima de hashes. Serviços como https://crackstation.net/ podem facilmente quebrar um hash como, por exemplo, o SHA256. Restringir que o usuário use senhas complexas para driblar isso (com caracteres, números, letras maiúsculas...) pode não ser tão fácil, visto que a maioria dos problemas de segurança vem por fatores humanos, como o phishing, que consegue uma taxa de 45% de conversão segundo a empresa de segurança ReturnPath.O que te passa uma responsabilidade maior na hora da segurança. Um outro problema ao usar SHA256, deixa vulnerável ao ataque por processamento por força bruta (isso vale para algoritmos ultrapassados como MD5 e SHA1). Portanto, é 'falsa' a ideia de que usar salt deixa o algoritmo mais seguro por si só (no sentido de existir opção mais segura). No caso do seu problema, um SQL injection poderia revelar informações do banco de dados para comparação do salt.

Isso não quer dizer que não existem opções. Algumas delas:

  • 1) Forçar um cadastro de senhas complexas. Se o escopo da aplicação permitir.
  • 2) Introduzir token dentro do hash (caso não seja possível a opção 1).
  • 3) Usar bcrypt. O algoritmo bluefish permite a criação de parâmetro de processamento para aumentar a complexidade do hash.
0

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .