שלום

אני מתלבט באיזו פונקציה מבין הרבות האפשרויות כדאי לשמור סיסמאות מוצפנות במסד.
האפשרויות הצטמצמו אחרי שהבנתי שכדאי להשתמש בפונקציה שיש לה גם הפוכה. כלומר decoding.

כרגע אני משתמש בMD5, אבל כמובן שהיא לא הפיכה.

אשמח לרעיונות והצעות.

תודה

אולי תירצה להשתמש בפונקציה בסגנון של CRC32 אבל שתתאים ל-64 ביט. (CRC64...)

בחישובים של מספרים (integer), המסד MYSQL תמיד עושה חישובים בגודל של 64bit, אפילו אם גודל המספר הוא 32bit או 8bit...

לכן אני חושב שצריך לנצל את התכונה הזו, ולהשתמש ב-HASH מסוג מספר גדול מספיק, כמו 64bit.

בנוגע להאם כדאי להשתמש בפונקציה הפיכה או לא (כלומר הצפנה או HASH), זה קשור לתיכנות באופן כללי. אני חושב שעדיף להשתמש בפונקציה לא-הפיכה, אלא אם יש לך צורך להשתמש בפונקציה הפיכה.

המחליפה הרשמית של DES
קרא קצת כאן:
http://en.wikipedia.org/wiki/Advanc...yption_Standard

*עריכה*
עכשיו שמתי לב ששאלת את זה בפורום מסדי נתונים
(אתה יכול לבצע את ההצפנה בקוד במקום במסד)

אז הנה כמה יישומים של AES במסדי נתונים נפוצים:
PostgreSQL
http://archives.postgresql.org/pgsq...03/msg00196.php

Oracle( 9.2 only triple DES)
http://download.oracle.com/docs/cd/...btoo2.htm#10242

MySql
http://dev.mysql.com/doc/refman/5.1...-functions.html

_________________________________________________

אזהרה: משרד הבריאות קובע כי העישון מזיק לבריאות !
תראו, אפילו החייזר נהיה ירוק מזה

מנהל פורום מדע בדיוני ופנטסיה ופורום מדע טכנולוגיה וטבע בפרש

אוקיי, תודה לשניכם.

וכן יש לי צורך באפשרות להפוך את הסיסמא.

קצת קשה לי לראות סיבה הגיונית לשימוש בסיסמא מוצפנת שאפשר להפוך - בא לך לתת דוגמא למה יש בזה צורך?

אני יכול להציע דוגמא:

נניח שאתה מעוניין במאגר סיסמאות לחשבונות שלך ברחבי האינטרנט (אימייל, פייסבוק וכו')
כדי שתוכל להשתמש במפתח אחד ולקבל את הסיסמא לכל אחד מהם.

(יש מספר יישומים כאלה, כולל פלאגינים לפיירפוקס)

_________________________________________________

אזהרה: משרד הבריאות קובע כי העישון מזיק לבריאות !
תראו, אפילו החייזר נהיה ירוק מזה

מנהל פורום מדע בדיוני ופנטסיה ופורום מדע טכנולוגיה וטבע בפרש

לאחסן את כל הסיסמאות במקום אחד שהוא לא הראש שלך, זה לא הגיוני. במיוחד לא שיש כבר את זה: http://pass.shimi.net ...

באופן כללי: לאחסן מידע בהצפנה הפיכה שהמטרה היא להפוך את פעולת ההצפנה לאחר מכן בדיוק דרך אותה מערכת, בדרך כלל יהיה חסר משמעות. אם מישהו מצליח להגיע אל המידע המוצפן, כבר תהיה לו גם הדרך למצוא את המפתח שהצפין את כל המידע... (אני מדבר, כמובן, על פריצה אל השרת שעליו מאוחסן המידע...)

נמאס לכם לזכור סיסמאות? לחצו כאן!

יש במשחקיה הזאת תירוצים סבירים לשימוש בMD5 אבל בסופו של דבר מה שיש בהם זה:
"אנחנו יודעים שMD5 לא בטוח אבל בינתיים לא מצאו דרך לדפוק אותנו דרך השימוש בMD5 במקרה הספציפי שלנו"

אבל לאט לאט מוצאים שיטות. הנוראית ביותר פורסמה לא מזמן:
http://www.win.tue.nl/hashclash/rogue-ca

אממ... לא לקחתי את גורם האבטחה פה כגורם עיקרי, ולכן חשבתי שיהיה בסדר להשתמש בזה.

המטרה הייתה כמובן לשחזר סיסמא.

לא חייבים לשחזר סיסמא, בדרך כלל. לפעמים אפשר ליצור סיסמא חדשה ולהעביר אותה למבקש בהסתמך על אותם תנאים בדיוק שבגללם רצית לתת לו את הסיסמא המקורית. למעשה, עדיף שלא לתת את המקורית בכל מקרה - כי אם בכל זאת עבדו על המערכת שלך - עדיף שהפורץ יקבל גישה רק אל המערכת שלך, ולא אל מערכות אחרות שהמשתמש השתמש בהן באותה סיסמא (כי הוא לא יודע שלא עושים דבר כזה...)

ממליץ לך לשקול בשנית...

נמאס לכם לזכור סיסמאות? לחצו כאן!

אין סיבה לאחסן סיסמאות בצורה הפיכה.

הדרך הקלה ביותר לאחסן האשים של סיסמאות בצורה יחסית בטוחה היא שימוש ב SHA עם salt.