9

Estou escolhendo um algoritmo de hash para as senhas de um sistema que desenvolvo. No início de minha "programática" utilizei o MD5, o SHA-1 e suas derivantes. Depois de um tempo preferi o Whirlpool e agora procuro algo mais robusto.

Estou na dúvida entre o Scrypt e os outros... Sobre o Scrypt eu não gostei de sua saida:

$s0$e0801$epIxT/h6HbbwHaehFnh/bw==$7H0...

porque achei a separação por cifrão muito evidente para um atacante (pelo menos foi a impressão que tive).

Hoje qual seria o melhor caminho a seguir? Scrypt, Bcrypt ou PBKDF2 ou algum outro caminho?

Após conhecer o projeto Jasypt preferi voltar ao velho e bom Whirlpool, ainda pretendo estudar o algorítmos mencionados acima, mas por enquanto estou apostando no whirlpool.

1
  • 1
    O Jasypt parece fazer um bom trabalho na proteção das senhas. Só lembre-se de usar um sal diferente para cada usuário, e um número de iterações apropriado. Esse artigo sugere 1000 iterações, mas provavelmente está desatualizado... Experimente 10.000, ou até 100.000, e veja se é tolerável (como não conheço muito do Whirlpool, não vou sugerir um número exato). Isso deve dar uma segurança comparável ao PBKDF2.
    – mgibsonbr
    Commented 6/03/2014 às 20:59

3 Respostas 3

4

Sobre o cifrão ser evidente para um atacante: na verdade isto não significa nada. A segurança do seu sistema reside na dificuldade em fazer o ataque, não na dificuldade de descobrir qual algoritmo foi utilizado. Para começo, qualquer algoritmo que tenha um ataque mais rápido do que força bruta está quebrado e não deveria ser usado.

Entre os algoritmos que não possuem ataque fácil, ou seja, só são quebrados por força bruta, a segurança aumenta quando mais custoso (em tempo e dinheiro) for fazer esta força bruta. E é aí que algoritmos de hash mais demorados levam vantagem sobre os hashes rápidos: um MD5 foi criado para que fosse calculado rapidamente, e ser "calculado rapidamente" é ruim para segurança.

Dos 3 algoritmos que você menciona, podemos analisar:

  • PBKDF2 : o número de iterações é configurável, ou seja, você pode fazer ele demorar mais tempo para ser processado. Mas como ele requer poucos circuitos para seu processamento e pouca RAM, é possível utilizar placas de vídeo (GPUs) ou circuitos programáveis / otimizados (como ASICs). Desta forma é possível fazer um ataque com baixo custo.

  • BCrypt : como faz um uso mais intenso de memória RAM, o custo / dificuldade de fazer um hardware específico para atacá-lo é mais alto. Desta forma, ele é mais securo que o PBKDF2. E ele está em uso já tem algum tempo, o que significa que sua segurança já foi testada e ainda não foi quebrada. Só que a quantidade de memória RAM que ele utiliza ainda não é gigantesca, e por isto o custo de construir hardware para quebrá-lo é maior que o do PBKDF2, mas não é tão grande quanto o do SCrypt.

  • SCrypt : o SCrypt exige uma quantidade grande de memória para o seu cálculo (nada que um PC comum ou um servidor não possa disponibilizar, mas grande o suficiente para atrapalhar o uso de GPUs ou de hardwares dedicados). Como é um algoritmo mais novo, não passou o mesmo tempo que o BCrypt sendo testado na vida real, e assim pode ser que possua alguma falha ainda não descoberta.

Uma regra para ver qual é mais indicado para sua aplicação: qual seria o interesse de alguém investir dinheiro para quebrar a segurança da sua aplicação? Se for algo tão valioso assim (por exemplo, segurança de um banco ou de bitcoins), use a solução que seja mais cara para o atacante (Scrypt). Se você só precisa de uma segurança razoável, PBKDF2 ou BCrypt já serão mais que suficientes.

4

Num algoritmo de hash, somente aquilo que está sendo hasheado é secreto. Tudo mais é público (sal, fator de trabalho, outros parâmetros). Esses algoritmos são projetados para manterem a resistência à pré-imagem (i.e. a partir do hash se descobrir a senha) mesmo que tudo o mais sobre ele forem conhecidos. Por isso, o fato de um atacante ver o cifrão no código não é relevante (mesmo porque no momento em que ele pôs as mãos no seu banco ele já deve conhecer tudo sobre seu sistema).

Além disso, outros algoritmos de hash (mesmo os "quebrados" como MD5) também vão precisar no mínimo de um sal (para evitar rainbow tables), e esse sal vai ter que ser armazenado em algum lugar, não? Que diferença faz se for no próprio hash (separado por cifrão) ou em uma outra coluna na mesma tabela (que o atacante também já tem)?

Sobre qual o melhor algoritmo dos três, veja as demais respostas para um comparativo. Pessoalmente, creio que o PBKDF2 com um número elevado de iterações deve ser suficiente para proteger uma senha (mas na realidade os três são bons o bastante). E se seu sistema possuir requisitos de segurança elevados (como os de um banco, ou próximo disso) então considere utilizar outros meios além da senha para proteger as contas dos seus clientes (autenticação em dois fatores, por exemplo).

Atualização: Digamos que, para tornar mais difícil a vida de um atacante, você resolva: 1) tirar o cifrão da saída; 2) mudar a ordem dos elementos. Dessa forma, você está transformando:

$s0$e0801$epIxT/h6HbbwHaehFnh/bw==$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=

em

e0801s07H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=epIxT/h6HbbwHaehFnh/bw==

O que o atacante vai fazer?

  1. Criar uma conta no seu site. Assim ele conhecerá 1 senha (sua própria) e o hash correspondente;

  2. Ler como funciona o scrypt, descobrindo que ele tem:

    1. Um número de versão. Quantos s0 têm na sua string? Só 1:

      e0801  s0  7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=epIxT/h6HbbwHaehFnh/bw==
      
    2. Os parâmetros do algoritmo. Bom, nesse caso está óbvio que é o primeiro grupo;

    3. Um sal e uma chave. Bom, nesse caso ficou fácil pois a codificação base64 terminou com = e ==, então é fácil achar os pedaços.

      e0801  s0  7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=  epIxT/h6HbbwHaehFnh/bw==
      
  3. Qual é o sal e qual é a chave? Bom, ele sabe a própria senha e o hash dela, então é só fazer 2 testes:

    $s0$e0801$epIxT/h6HbbwHaehFnh/bw==$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=
    
    $s0$e0801$7H0vsXlY8UxxyW/BWx/9GuY7jEvGjT71GFd6O4SZND0=$epIxT/h6HbbwHaehFnh/bw==
    

    O que der certo, é o formato que você está usando!

Ainda que você use base 16 para tornar mais difícil achar os limites entre as partes, o trabalho para se testar todas as possibilidades (dentro de uma mesma representação de hash) é mínimo comparado ao trabalho de tentar quebrar o hash. Se o atacante tem dinheiro o suficiente para fazer um ataque no hash, ele pode fazer esse testezinho numa questão de minutos. Você só complicou sua implementação em troca de uns minutinhos do tempo do atacante. Valeu a pena?

4
  • Creio que o salt, iterações e outros parâmetros devam ser tão secretos quando o conteúdo a ser calculado(hash), pois facilita muito o trabalho de quebra, claro, não diminui o custo de força-bruta. Sobre o salt, a diferença que faz é saber que os 16bytes finais ou iniciais ou qualquer que seja é o salt e que para um atacante isso não fique explicito e separado para que ele possa ter 50% do caminho adiantado. Se tirassem o $ eu já estaria satisfeito Commented 27/02/2014 às 19:06
  • Na verdade, o ideal é que o atacante nem sequer ganhe acesso aos seus hashes (i.e. proteja-se de SQL Injection). Mas se ganhar, tanto faz como está representado. Quanto a tentar esconder o sal, isso é segurança por obscurantismo, o que não é ruim como adendo a um sistema de segurança, mas não pode servir de base para a segurança. Vou atualizar minha resposta com um exemplo.
    – mgibsonbr
    Commented 27/02/2014 às 19:11
  • A minha dúvida agora é pq ele chutaria logo o Scrypt? Concordo que o acesso à base é mais importante, mas não vejo tudo em um lugar. Commented 27/02/2014 às 20:02
  • Isso foi só um exemplo. O que quero dizer é que o esforço de se descobrir o algoritmo (e sua implementação) é ínfimo em relação ao esforço de crackeá-lo.
    – mgibsonbr
    Commented 27/02/2014 às 21:51
2

Depende do seu objetivo. Há uma série de coisas a se avaliar:

  • Tempo para quebra da senha usando força bruta;
  • Número de iterações para gerar uma sequência de caracteres criptografada;
  • Número de caracteres da sua senha. Por exemplo, Bcrypt não trabalha com mais do que 55 caracteres.

O recomendado é o PBKDF2, já que você não gostou da saída do Scrypt. Ele não tem limite de caracteres. Ele é mais fácil de quebrar que os outros dois, mas possui um desempenho melhor. Abaixo tem uma tabela comparativa com o custo em tentativas pra quebrar a senha de cada algoritmo:

Custo estimado em hardware para quebrar uma senha em 1 ano.

2
  • 1
    "O recomendado é o PBKDF2, já que você não gostou da saída do Scrypt" -- Eu aceitaria o argumento, se o OP tivesse um bom motivo para não gostar de scrypt, ou se tivesse algum link para fonte confiável recomendando PBKDF2 no lugar de scrypt. Como as outras respostas colocaram, o simples fato de se saber como um hash está formatado não é motivo para imaginar que o algoritmo é fraco ou "não recomendável". Commented 3/03/2014 às 11:16
  • 1
    A um segundo comentário: "Ele é mais fácil de quebrar que os outros dois, mas possui um desempenho melhor." -- No que diz respeito à senhas, quanto "pior" a performance, melhor. Commented 3/03/2014 às 11:17

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .