Логин и пароль пользователя в десктоп приложении

Энтомолог · Регистрация: 25.04.2012

Студворк — интернет-сервис помощи студентам

Для начала работы с программой требуется подключение к бд для загрузки профиля.
Как правильно хранить логин и пароль пользователей вне бд и проверять их при входе, чтобы все это было устойчиво ко взлому ?

@Wolfdp · 06.04.2013, 20:28

Сообщение от A1exSun

Мое мнение - свой велосипед изобретать не нужно. Он будет лишь жалким подобием и с множеством уязвимостей, взять те же коллизии.

Ну к примеру: делаем хэш пароля (password), потом делаем хэш пароля в обратном порялке (drowssap), потом просто делаем побитовое ИЛИ. Думаю, колизий тут явно нет. А вот ваш стандартный словарь уже можно выкинуть.

@A1exSun · 06.04.2013, 20:44

Сообщение от Wolfdp

Ну к примеру: делаем хэш пароля (password), потом делаем хэш пароля в обратном порялке (drowssap), потом просто делаем побитовое ИЛИ. Думаю, колизий тут явно нет. А вот ваш стандартный словарь уже можно выкинуть.

Зачем словарь выбрасывать? При переборе просто сверять с hash() | hash(reverse(word))
Вашу мысль я понял. md5 обычно тоже не так просто используют, а вместе с солью как минимум. В движке этого форуме например, если мне не изменяет память, md5(password, salt). Так же в каком-то популярном движке видел md5(md5(password, salt)).

@Wolfdp · 06.04.2013, 20:49

Сообщение от A1exSun

При переборе просто сверять с hash() | hash(reverse(word))

Соглашусь, вот только вся проверка займет в разы дольше, чем обычная. Плюс, ещё нужно знать, о том, что в сервисе идет именно такая проверка. Вполне возможна такая ситуация: хакер получает часть таблицы, где хранятся пароли, видит в них md5-подобные записи и думает "ага! это же хэши паролей! где-то у меня есть словарь для перевода..." Запускается поиск соответствий(который ой какой долгий), генерируются входные пароли. И потирая руки, пытается зайти - а не тут то было.

@A1exSun · 06.04.2013, 21:44

Сообщение от Wolfdp

Соглашусь, вот только вся проверка займет в разы дольше, чем обычная. Плюс, ещё нужно знать, о том, что в сервисе идет именно такая проверка. Вполне возможна такая ситуация: хакер получает часть таблицы, где хранятся пароли, видит в них md5-подобные записи и думает "ага! это же хэши паролей! где-то у меня есть словарь для перевода..." Запускается поиск соответствий(который ой какой долгий), генерируются входные пароли. И потирая руки, пытается зайти - а не тут то было.

В 2 раза, не так и много.
Узнать тип хэширования тоже возможно, в случае с веб-сайтом, имея доступ к БД мы наверняка имеем доступ и к коду, в случае с десктопным ПО есть дизассамблер. Или регистрируем своих пользователей и потом анализируем полученные хэши наших паролей.

В общем, что-то мы уже не по теме.

@Wolfdp · 07.04.2013, 00:17

Сообщение от A1exSun

Узнать тип хэширования тоже возможно, в случае с веб-сайтом, имея доступ к БД мы наверняка имеем доступ и к коду

Думаю на этом этапе можно смело сказать - безопасность на уровне 0.

@tezaurismosis · 07.04.2013, 17:26

Сообщение от A1exSun

Оригинально. Ознакомься: http://ru.wikipedia.org/wiki/Хеширование и http://ru.wikipedia.org/wiki/Шифрование
И в будущем не говори "расшифровать md5 хэш".

Прелестно, но говорить "расхэширование" я не буду. Ещё раз повторюсь: от этого смысл слова не пропадает. Поэтому: "MD5-хэш сейчас легко расшифровать"

Сообщение от A1exSun

Очень ценный материал, раскрыл мне глаза на опасность использования md5. В нем нашли коллизию! Теперь весь интернет под угрозой.

Просто умираю от вашей великолепной саркастичной шутки.

Только я это привел в пример совсем другого - это очередная дыра в устаревшем алгоритме.

@A1exSun · 07.04.2013, 17:33

Сообщение от tezaurismosis

Прелестно, но говорить "расхэширование" я не буду. Ещё раз повторюсь: от этого смысл слова не пропадает. Поэтому: "MD5-хэш сейчас легко расшифровать"

"Расхэшировать" тоже невозможно. Снова посылать в вики?

Сообщение от tezaurismosis

Просто умираю от вашей великолепной саркастичной шутки.

Только я это привел в пример совсем другого - это очередная дыра в устаревшем алгоритме.

Эта "дыра" совсем не дыра и есть везде. Если очередная, то где предыдущие? Старое не значит плохое.

@tezaurismosis · 07.04.2013, 17:40

Сообщение от A1exSun

Эта "дыра" совсем не дыра и есть везде

Вы говорите про подбор - в других это малюсенькая дыра из-за очень долгого подбора, MD5 сейчас подбирают быстро.

Сообщение от A1exSun

Снова посылать в вики?

Сами туда идите, я больше не пойду.

Сообщение от A1exSun

Старое не значит плохое.

Старое зачастую плохое, если есть причины. Тут причины есть.

Сообщение от A1exSun

Если очередная, то где предыдущие?

См. предыдущие сообщения. Я уже говорил, что есть другие методы.

@A1exSun · 07.04.2013, 17:53

Сообщение от tezaurismosis

Вы говорите про подбор - в других это малюсенькая дыра из-за очень долгого подбора, MD5 сейчас подбирают быстро.

На том же оборудовании скорость подбора почти равная ко всему.

Сообщение от tezaurismosis

См. предыдущие сообщения. Я уже говорил, что есть другие методы.

Перебор по словарю, Brute-force и RainbowCrack - уязвимы все алгоритмы.

@taras atavin · 07.04.2013, 18:04

Сообщение от A1exSun

Дешифровки чего? md5 это хэш.

И что?

Сообщение от A1exSun

Скажи, что здесь было: 6c594fca60c658a835340e29a267bba5

Первая же хеш-коллизия будет принята вместо истинного пароля.

Добавлено через 3 минуты

Сообщение от Wolfdp

(то есть пароль "123" становится эквивалетный 32-х символьному.)

Какой бы хеш ты не использовал, простой пароль всё равно вскрывается перебором самого пароля.

Добавлено через 1 минуту

Сообщение от A1exSun

Хэши не расшифровываются.

не расшифровываются, как обычные шифры, но это и не нужно, при проверке по хешу нахождение хешколлизии по хешу легального пароля есть расшифровка хеша.

@A1exSun · 07.04.2013, 18:05

Сообщение от taras atavin

И что?

Понятие "расшифровать" просто не применимо к хэшам. Ибо хэш это ну вы знаете что. А расшифровать означает получить оригинал данных.

Сообщение от taras atavin

Первая же хеш-коллизия будет принята вместо истинного пароля.

Какая вероятность ее найти?

@taras atavin · 07.04.2013, 18:05

Сообщение от Wolfdp

Насчет хэша: как по вашему это должно выглядить? Клиент-приложение отправляет на сервер хэш, вместо логина-пароля?

А где хоть слово о клиент-сервере?

@A1exSun · 07.04.2013, 18:06

Сообщение от taras atavin

при проверке по хешу нахождение хешколлизии по хешу легального пароля есть расшифровка хеша.

Да, а как с этим на практике?

@taras atavin · 07.04.2013, 18:13

Не того хакера спрашиваешь, я ломаю код по обезьяньей методе, а не вдумчиво пароли. Потому и в статусе приставка "недо".

Энтомолог · 28.04.2013, 21:00 **[ТС]**

C#
1
System.Security.SecureString

Как насчет этого объекта для хранения пароля ?

@tezaurismosis · 28.04.2013, 21:42

Сообщение от Alex9

Как насчет этого объекта для хранения пароля ?

А почему бы и нет. Я почитал декомпилированный код этого класса, если я правильно понимаю, данные помещаются в защищённую область памяти - я думаю это будет посложнее взломать

Энтомолог · 28.04.2013, 21:49 **[ТС]**

А как посмотреть код такого класса ?

@tezaurismosis · 28.04.2013, 21:54

Сообщение от Alex9

А как посмотреть код такого класса ?

Декомпилятором, dotPeek, к примеру.

Новые блоги и статьи Все статьи Все блоги /
Про "Windows must die!" kumehtar 04.11.2026 Знаете, чет накатило. . . . Когда-то это было почти боевым кличем: мол, нормальный человек сидит на DOS, OS/ 2 или Linux, а вот это вот - Must Die. А теперь человек произносит «мастдай» с усмешкой - и. . .	Красочные поля с номером страницы svg+background-image russiannick 04.11.2026 Красочные поля с номером страницы не менее важны чем в эпоху бумажных книг. Посему спешу представить почтеннейшей публике этот важный инструмент который эти поля и формирует. В процессе разработки. . .	Вступаем в новую фазу генерации favicons, векторную. russiannick 02.11.2026 Теперь нет нужды скрывать что используется простой svg. Исходный код изображения помещаем в поле и жмем кнопку. Исходник преобразуется в вид корректный для помещения в favicon или в url(). Нажатие. . .	Генератор паролей (вариант №4) Maks 01.11.2026 После публикации 3-го варианта генератора паролей, разослал его своим коллегам (с целью оценки), в итоге были получены следующие рекомендации: 1. Вернуть возможность использования знаков \| 1 l I;. . .
Генератор паролей (вариант №3) Maks 30.10.2026 Финальная версия генератора паролей 1С. Доработка решения в этот раз коснулась только визуальной части, а именно, добавлен реквизит ДопПараметры (тип Булево), который скрывает/ отображает реквизиты:. . .	Магическое мышление и магия, современная наука не отличима от магии (говорит ИИ Джемени) zorxor 30.10.2026 Джемени, расскажи, пожалуйста, что такое магическое мышление, что такое магия, почему современная наука чем-то напоминает магию? Фраза «Любая достаточно развитая технология неотличима от магии». . .	За какое время ИИ может подобрать пароль по хешу (рассказывает Джемени ИИ) zorxor 30.10.2026 Расскажи, Джемени, если известен хэш МД5, например, за сколько ИИ сможет подобрать соответствующий пароль? Искусственный интеллект (ИИ) может подобрать простой или средний по сложности пароль по. . .	Кто убил Suno? Почему наше солнышко погасло? (диалог с ИИ Джемени) zorxor 30.10.2026 Как убивали Suno. Хронология. «Убийство» музыкальной нейросети Suno — это затяжной процесс, в котором технологический хайп стартапа разбился о жесткую реальность судебных исков от гигантов. . .

Энтомолог 141 / 182 / 44 Регистрация: 25.04.2012 Сообщений: 2,623 Записей в блоге: 5

	Логин и пароль пользователя в десктоп приложении 04.04.2013, 21:45. Показов 9816. Ответов 37 Метки нет (Все метки) Для начала работы с программой требуется подключение к бд для загрузки профиля. Как правильно хранить логин и пароль пользователей вне бд и проверять их при входе, чтобы все это было устойчиво ко взлому ? 0

@taras atavin 4226 / 1799 / 211 Регистрация: 24.11.2009 Сообщений: 27,562
	07.04.2013, 18:13
	Не того хакера спрашиваешь, я ломаю код по обезьяньей методе, а не вдумчиво пароли. Потому и в статусе приставка "недо". 0

Энтомолог 141 / 182 / 44 Регистрация: 25.04.2012 Сообщений: 2,623 Записей в блоге: 5
	28.04.2013, 21:49 [ТС]
	А как посмотреть код такого класса ? 0