https://opennet.me/openforum/vsluhforumID3/97445.html Сторми Питерс (Stormy Peters), директор по взаимодействию с разработчиками, сообщила (https://blog.mozilla.org/security/2014/08/01/mdn-database-disclosure/) об инциденте с безопасностью на одном из серверов Mozilla, в результате которого в публичном доступе появилась база данных, содержащая данные об около 76 тысячах e-mail адресов и 4 тысячах хэшей паролей участников сообщества Mozilla Developer Network. Данные появились 23 июня и оставались доступны примерно 30 дней. В качестве причины инцидента называется сбой процесса чистки БД, в результате которого в публично доступной директории остался coredump с отрывками БД сайта MDN (https://developer.mozilla.org/en-US/).<br><br><br>В процессе анализа инцидента не были выявлены явные свидетельства доступа к данной информации сторонних лиц, но тем не менее вероятность утечки не исключается. Всем пользователям, аккаунты которых были затронуты инцидентом отправлены уведомления с просьбой установить новый пароль. Сообщается, что в настоящее время невозможно использовать подоб https://opennet.me/openforum/vsluhforumID3/97445.html#38 Fri, 15 Aug 2014 14:38:24 GMT &gt; наличие соли на двух разных сервисах его не спасёт, если утёк хеш (и был потом сбручен)<br><br>если был бы сбрутен, то да.<br><br>но как сбрутить хеш с солью?<br><br>это же неимоверные усилия. (нельзя вспользоваться готовой базой. и нельзя возпользоваться распределённым подходом если остальные участники потенциального распределения не заинтересованы в этой же соли. а соль разная у каждого логина, так что да -- ни кто не заинтересован в распределённом бруте).<br> https://opennet.me/openforum/vsluhforumID3/97445.html#37 Mon, 04 Aug 2014 13:19:53 GMT &gt;&gt; При чём тут соль?<br>&gt;&gt; Утек хеш с солью. Злой дядя сбрутил пароль и пошёл на твою <br>&gt;&gt; страницу в твиторе, указал тот же пароль, твитор приделал к указзаному <br>&gt;&gt; паролю соль из своей базы и захешировал. Результат сравнил с хешем <br>&gt;&gt; из базы. Если ты имел глупость использовать на твиторе тот же <br>&gt;&gt; пароль, то твитор аутентифицирует злого дядю как тебя-настоящего.<br>&gt; О дааааааа, соль!!!! Валшебная пуля!!!!<br>&gt; Она-ж криптографически считается, соль-то! Неужто? Давно ли?<br>&gt; Мужик, ты "Введение в криптографию"-то видал?<br><br>Ты о чём вообще? Я лишь сказал предыдущему оратору, что наличие соли на двух разных сервисах его не спасёт, если утёк хеш (и был потом сбручен) одного с одного сервиса, а на обоих он использует один пароль.<br><br>Что касаемо "как считается соль", то она не считается, а, в идеале, генерируется как псевдослучайное значение.<br><br>Что пытаешься донести ты - неясно.<br> https://opennet.me/openforum/vsluhforumID3/97445.html#34 Mon, 04 Aug 2014 12:53:41 GMT &gt; При чём тут соль?<br>&gt; Утек хеш с солью. Злой дядя сбрутил пароль и пошёл на твою <br>&gt; страницу в твиторе, указал тот же пароль, твитор приделал к указзаному <br>&gt; паролю соль из своей базы и захешировал. Результат сравнил с хешем <br>&gt; из базы. Если ты имел глупость использовать на твиторе тот же <br>&gt; пароль, то твитор аутентифицирует злого дядю как тебя-настоящего.<br><br>О дааааааа, соль!!!! Валшебная пуля!!!!<br><br>Она-ж криптографически считается, соль-то! Неужто? Давно ли?<br><br>Мужик, ты "Введение в криптографию"-то видал?<br> https://opennet.me/openforum/vsluhforumID3/97445.html#31 Mon, 04 Aug 2014 12:51:21 GMT &gt; А еще можно соли добавить.<br><br>Ты добавил? Покажь коммит!<br> https://opennet.me/openforum/vsluhforumID3/97445.html#30 Mon, 04 Aug 2014 11:14:58 GMT &gt; Шёл 2014й год, люди продолжали наступать на всё те же грабли: <br>&gt; - используя быстрые хэш функции тпиа sha* для хранения паролей <br>&gt; - используя во всех формах ограничения на длину пароля, что заставляет <br>&gt; пользователей придумывать или простые пароли или те, которые не возможно запомнить <br>&gt; (F!12fj-v1zxz).<br><br>Ага, и часто ограничивают не только длину, но и набор символов.<br>&gt; - продолжая использовать пароли вообще.<br><br>А есть реальная универсальная альтернатива?<br> https://opennet.me/openforum/vsluhforumID3/97445.html#29 Mon, 04 Aug 2014 11:09:11 GMT При чём тут соль?<br><br>Утек хеш с солью. Злой дядя сбрутил пароль и пошёл на твою страницу в твиторе, указал тот же пароль, твитор приделал к указзаному паролю соль из своей базы и захешировал. Результат сравнил с хешем из базы. Если ты имел глупость использовать на твиторе тот же пароль, то твитор аутентифицирует злого дядю как тебя-настоящего.<br> https://opennet.me/openforum/vsluhforumID3/97445.html#28 Mon, 04 Aug 2014 11:03:40 GMT Парадокс дней рождения работает если вы ищете пару люыбх p1, p2, такую, что h(p1) == h(p2). При утёкших хешах же вы ищете такое любое p2, что h(p2) == H, где H фиксированное и равно h(p1), так как p1 тоже фиксированное, и вы его не знаете. <br> https://opennet.me/openforum/vsluhforumID3/97445.html#27 Sun, 03 Aug 2014 23:07:17 GMT Шёл 2014й год, люди продолжали наступать на всё те же грабли:<br> - используя быстрые хэш функции тпиа sha* для хранения паролей<br> - используя во всех формах ограничения на длину пароля, что заставляет пользователей придумывать или простые пароли или те, которые не возможно запомнить (F!12fj-v1zxz).<br> - продолжая использовать пароли вообще.<br> https://opennet.me/openforum/vsluhforumID3/97445.html#26 Sun, 03 Aug 2014 22:07:14 GMT Не забывай про http://ru.wikipedia.org/wiki/Парадокс_дней_рождения<br>