компьютеры

9 символов недостаточно

При помощи Hashcat, работающего на 4-ядерном i7 с тактовой частотой всего в 2.2 гигагерца, MD5 хеш 9-символьного пароля вскрывается за 10 часов (причём это в лоб, без умного поиска коллизий). Делайте выводы. А какие? А такие. Во-первых, MD5 говно по целому ряду причин. Мало того, что у него бывают коллизии (т.е. две разные строки дают один и тот же хеш, если его не солить), во-вторых, расчёт хеша MD5 недостаточно ресурсоёмок (даже солёный). Хеш типа Blowfish уже в лоб так легко не вскроешь -- он требует значительно большего машинного времени. Ну и 9 символов это всё же мало в наше время. Это я ещё на видеокарте хеши не считал, там, наверное, такой MD5 за пять минут вскроется :)))
Tags:
ты имеешь в виду ситуацию, когда веб сайт хранит мд5 хеш паролей в базе, базу сперли и у хакера на руках легко оказывается любой из паролей?
В этом случае все же лучше теребить именно вебсайты. Заставлять пользователей помнить 10-ти значные пароли достаточно жестоко. Я еще могу понять когда это онлайн-банкинг или что то реально важное - но простые веб сайты, ну их нафиг с такими порывами.
> ты имеешь в виду ситуацию, когда веб сайт хранит мд5 хеш паролей в базе, базу сперли и у хакера на руках легко оказывается любой из паролей?

Ну, это наиболее вероятный сценарий конечно.

> В этом случае все же лучше теребить именно вебсайты. Заставлять пользователей помнить 10-ти значные пароли достаточно жестоко.

Я вообще против использования паролей. Пароли это прошлый век.

> Я еще могу понять когда это онлайн-банкинг или что то реально важное - но простые веб сайты, ну их нафиг с такими порывами.

Просто обычным взломом сайта дело никогда не заканчивается.

Обычно взлом сайта -- это дело с далеко идущими последствиями. Например, использование вебсайта для размещения вредоносного кода. Или установка туда скриптов, рассылающих спам. Или устраивающих DDoS. Или порталов, крадущих пароли.

Поэтому защита "обычного" сайта это ещё защита всех остальных от последствий его взлома. И дело тут достаточно серьёзное. Я не хочу, чтобы мой сервер DDoS'или через взлом лоха ушастого.
непонятно тогда - кто хранит в мд5 пароли. Если это твой сайт - то ты сам себе злобный буратино. Или ты про шередхостинг сейчас?
> непонятно тогда - кто хранит в мд5 пароли.

Незнакомые с принципами компьютерной безопасности безответственные веб-кодеры.

Которых, увы, ВАГОН.

Некоторые вон, и не в MD5 хранят, а в bcrypt, только используют его неправильно, поэтому их и ломают (Ashley Madison) :)
In 2012, it was demonstrated that every possible 8-character NTLM password hash permutation can be cracked in under 6 hours.
-
прошло 5 лет
А интересно, каким словом можно назвать программистов банка(!), которые ограничивают максимальную длину пароля?
Цензурных слов для описания данной ситуации у меня нет =)
Вот и я на днях сильно думал, меняя пароль :) Очень старался не матом.

Edited at 2017-03-29 01:40 am (UTC)