Změna hashovacího algoritmu - bcrypt

[Lukas.Novy]

Muj posledni prispevek byl o tom, ze pulka hesel v systemu (skoro 3000 uzivatelu) pouziva hash, ktery na lori netrva pul sekundy, ale nejakych 100 mikrosekund (a jinde pod 1 mikrosekundu). To uz neni hloupost uzivatelu.

pak je to tu off topic.

[Lukas.Novy]

A na hlouposti uzivatelu to nic nemeni. Prepokladat, ze nas nejaky silnejsi hash ochrani je jak myslet, ze lide jako Lastuvka neexistuji.

[Stanislav.Stipl]

A na hlouposti uzivatelu to nic nemeni. Prepokladat, ze nas nejaky silnejsi hash ochrani je jak myslet, ze lide jako Lastuvka neexistuji.

Právě proto, že takoví lidé existují, je třeba používat pořádný hash. Pokud měl někdo takový jednou jedinkrát přístup k databázi, může se po neomezenou dobu louskat hashe, zatímco členové jsou udržováni ve falešném pocitu bezpečí, že jeden hash trvá půl sekundy.

[Lukas.Novy]

Ma nekdo pristup k db? Ma. Silny hash te nezachrani. Uzivatele si proste sami musi menit hesla dostatecne casto.

[next_ghost]

Ma nekdo pristup k db? Ma. Silny hash te nezachrani. Uzivatele si proste sami musi menit hesla dostatecne casto.

Ehm, pokud má někdo přístup k DB, tak tvoje heslo pro přihlášení do systému nepotřebuje louskat. Stačí mu prostě na chvíli do DB k tvému účtu vrazit svoje vlastní heslo, přihlásit se za tebe, a zase tam vrátit to původní. Tohle je ochrana proti jednorázovému leaku, aby lidi měli čas si hesla změnit, než je útočníci lousknou, a částečně i ochrana pro blbce, co používají to samé heslo i někde jinde.

[Pavel.Moravec]

Ma nekdo pristup k db? Ma. Silny hash te nezachrani. Uzivatele si proste sami musi menit hesla dostatecne casto.

Zkus nutit uživatele si měnit hesla dostatečně často, a 90% z nich skončí se samými hesly typu "pirati2016" měněnými na "pirati2017".

Měnit heslo se má jen tehdy, pokud se domnívám, že mohlo být odhaleno.

[Petr.Vileta]

Ma nekdo pristup k db? Ma. Silny hash te nezachrani. Uzivatele si proste sami musi menit hesla dostatecne casto.

Zkus nutit uživatele si měnit hesla dostatečně často, a 90% z nich skončí se samými hesly typu "pirati2016" měněnými na "pirati2017".

A nebo s papírkem na monitoru

[Lukas.Novy]

Prosim nove prichozi, aby si laskave precetli tema od zacatku.

Stando, co tedy? Shodnem se na tom, xe jedina spravna cesta je 2FA? Nebo co ma byt vysledkem tehle diskuse?

[Stanislav.Stipl]

2FA by byla fajn, ale neni realne ji zavadet pro vsechny uzivatele.

Vysledkem teto diskuze je bohuzel to, ze temer polovina uzivatelu nema heslo zahashovane takovym zpusobem, aby je to alespon castecne ochranilo v pripade uniku databaze. Navic k uniku databaze jiz mohlo v minulosti dojit, meli k ni pristup nejruznejsi lide zejo.

[Lukas.Novy]

Vysledkem teto diskuze je bohuzel to, ze temer polovina uzivatelu nema heslo zahashovane takovym zpusobem, aby je to alespon castecne ochranilo v pripade uniku databaze.

A pricinou je ze si uzivatele nezmenili heslo. Predstava, ze prehashovanim slo zajistit nejake lepsi bezpeci je naprosto zcestna. Prehashovani muzes udelat az pri dalsim prihlaseni a jedine, co tim ziskas je pocit dobre zabezpecnyho hesla, ktery ale muze utocnik davno znat. Tohle plati jak pri zmene, kterou sem provedl ja tehdy tak i pri tom, co ty navrhujes ted.