שאלה על הצפנת מידע --> סיסמאות.
אני מתכוון להצפין את הססמאות במערכת שלי.
השאלה שלי היא האם ההצפנה תהיה יותר יעילה כאשר אני יבלבל אותה ... כלומר אני לא אצפין רק את הסיסמא בMD5 אלא אני אצפין שילוב של הסיסמא, התאריך ועוד כל מיני ביחד.
האם זה יהיה יותר יעיל מהצפנה של הססמא לבד ? או שזה לא ממש משנה ?

תודה

MD5 זה יותר ממספיק.

זאת אומרת שלא שווה לי להשקיע את המאמץ ביצירה של משהו מסובך יותר ....?

עדיף שתשקיע למשהו קצת יותר מסובך מזה

יש אתרים עם DATABASE שמכיל תירגום של מחרוזות MD5...
מבחינה מעשית, יש כאלה שהוא מוצא

הבעיה היא שהמשתמשים בדר"כ כותבים סיסמאות קצרות ו"מוכרות".
לכן בנוסף לסיסמא של המשתמשים, תוסיף טקסט מסוים, ואת כל זה ביחד תצפין למחרוזת מסוימת (לא באמצעות MD5 ).
את המחרוזת המוצפנת והמסובכת, תהפוך ל-HASH עם MD5.

ניסית פעם לפענח הצפנה של MD5?
אותו אתר יכול לשמור 7000 מחרוזות שעונות על אותו ה-hash והוא עדיין לא יכסה אחוז אחד מכל האפשרויות הקיימות.
יותר הגיוני, לבקש מהמשתמש לכתוב סיסמה מעשית.

ציטוט:

במקור נכתב על ידי Silver Strike ניסית פעם לפענח הצפנה של MD5? אותו אתר יכול לשמור 7000 מחרוזות שעונות על אותו ה-hash והוא עדיין לא יכסה אחוז אחד מכל האפשרויות הקיימות. יותר הגיוני, לבקש מהמשתמש לכתוב סיסמה מעשית.

צודק מספר האפשרויות הוא עצום.
אבל עדיין, יש סיסמאות של משתמשים שהצלחתי לפענח ממש באמצעות האתר הזה שמכיל את הסיסמאות וה-HASH שלהם במסד נתונים.

באמת יותר הגיוני לבקש מהמשתמש לכתוב סיסמאה מעשית, אבל מה קורה כשלמשתמש אין את הסבלנות לחשוב על סיסמא או שהוא פשוט לא רוצה או אלוקים יודע למה הוא לא כותב סיסמא מסובכת יותר?
בכל מקרה זה לא סיבוך מיוחד לבצע את האבטחת יתר הזאת.

ד"א נכתב בעבר בפורום PHP שהצליחו למצוא דךך לפענח מחרוזת MD5 לקדמותה. זה נכון?

זכור לי שהיו לפני שנתיים כמה "חבר'ה" שטענו שהם הצליחו לפענח את MD5.
מאז לא שמעתי על התפתחויות או על כך שהם שחררו את האלגוריתם.

בכל מקרה, בנוגע לסיסמאות - אתה אמור להכריח את המשתמש לכתוב סיסמה מורכבת (במקרה ויש צורך). אם המשתמש לא מעוניין לכתוב הצפנה מורכבת אז זו כבר אחריות שלו.

יש לי עוד שאלה ...
אני רוצה לעשות מין לוח בקרה למנהלים באתר שלי.
חשבתי שבמקום לשמור את הסיסמא מוצפנת בבסיס התנוים יהיה הרבה יותר קל, נוח ופשוט לשמור אותה בקובץ..

ככה יהיה לי טופס בכניסה ללוח הבקרה שלאחר שליחתו הוא יבדוק האם הערך שהתקבל בPOST תואם לסיסמא שיש בקובץ (תנאי בסיסי ביותר)

למשל אם הסיסמא היא 123456

קוד PHP:

 if($_POST['pass']==123456)
{
      enter to the admin panel;
} 


לפי מה שאני יודע הדבר הזה 100% בטוח כיוון שהוא לא מתעסק עם בסיס נתונים ולא ניתן לפרוץ אותו בשום צורה מבלי לפרוץ לשרת קודם :-) [אני צודק] ?

אתה מחפש אבטחה היכן שאין צורך...
בצורה הזו אתה קובע למשתמש באיזו סיסמה הוא ישתמש ואין לו את היכולת לעדכן את הסיסמה כל X זמן.

אם היית קורא את מה שכתבתי היית מבין שזאת סיסמת כניסה ללוח בקרת מנהלים , יש מנהל אחד וזה אני לכן המשתמש לא צריך לעדכן את הסיסמא כל X זמן ואני לא קובע לו באיזה סיסמא להשתמש, בעצם אני כן קובע לו באיזה סיסמא להשתמש, אבל הוא --> זה אני לכן אני קובע לעצמי באיזה סיסמא להשתמש .....

אתם אומרים שזה כל כך בלתי פריץ ויכול להיות שאיזה מישהו באיזה מקום כלשהו הצליח לפרוץ את זה הגאון !!!

וכאן בפורום אחר איזה ילד אמר שהוא פרץ לי תMD5 של הסיסמא שלי . הוא גילה איכשהו תMD5 ונתן לי תסיסמא המקורית שלי... שאלתי אותו איך הוא פרץ והוא אמר לי שזה קוד שהוא כתב ...

זה לא כזה הגיוני שהוא פענח לך את הסיסמא דרך פונקציה הפוכה של MD5

MD5 הוא פונקציה מתחום אינסופי (תיאורטי) לתחום מוגבל (של 160 ביט אם אנלא טועה). לכן יש אלפי קומבינציות של ביטים שיתנו בדיוק את אותו סיסמא שאתה נתת. לכן אם הוא גילה את הסיסמא שלך, זה לא דרך MD5

ואני כן הייתי משרשר לסיסמא איזה מחרוזת סתמית (או מחרוזת אקראית ושומר את המחרוזת. זה נקרא SALT אם אתה רוצה לחפש את זה בגוגל). הייתי עושה זאת מ2 סיבות - 1) אני פארנואידי 2) אני יכול.

הייתי מציע לך לקרוא גם את זה
http://www.ilovejackdaniels.com/php/writing-secure-php/
אחלה מאמר. אני חושב שיש לו 3 או 4 חלקים

תאמין לי שלא ממש קשה לפרוץ לסיסמאות של משתמשים.
לרוב הם משתמשים בתאריך לידה של בן משפחה, השם של החתול/כלב/שפן/נחש, או בצירוף אינפנטילי אחר.
לא ממש קשה ליצור סיסמה שנחשבת קשה. ואם יש חשיבות לסיסמה עדיף לחייב את המשתמש.

לא שאני מתנגד למה שאמרת. מוסיף...

2 דברים:
1. אמרנו לך פעם, שניתן בקלות יתר להזריק לך בשם מתשמש בהרשמה. עדין לא תיקנתה את זה...
2. תנסה לשים את את הסיסמה המוצפנת שלך באחד מהאתרים האילה שיש להם מסד נתונים.ותיראה האם הוא מציג לך את הסיסמה שלך.

בכל מיקרא, הכי חשוב שתתקן שם את הפריצה, כי יהיה קשה יותר להגיע ל-MD5 המוצפן...

בקשר לשאלה של הנושא, אני חושב שלמה לא לסבך את זה?. לא צריך משהוא מיוחד כדי להקשות. למשל, לכל סיסמה תוסיף תווים, ותצפין אותה פעמיים... זה כבר מוריד מאוד את הסיכוי...

תיקנתי את זה מזמן ..... שלח לי הודעה פרטית עם הבעייה כי אני לא מודע לכך שיש בעייה כלשהי