ymkins: security

Показаны сообщения с ярлыком security. Показать все сообщения

2014/01/30

hash(salt + password) vs hash(password + salt)

http://habrahabr.ru/post/210760/#comment_7257224

Loki3000,30 января 2014 в 13:08#
злоумышленник может предвычислить заранее хеш(соль) и далее считать хеш(соль)+хеш(пароль) уже куда быстрее (практически с той же скоростью, что и просто хеш(пароль))

А можно этот момент более подробно? Я не понял как поможет вычисление хаша соли при поиске хэша соли+пароля

torkve,30 января 2014 в 13:18#
Например, md5 действует последовательно. То есть, когда вы считаете хэш от каких-то данных, это можно представить в виде:

hasher = new MD5Hash()
for piece in data:
hasher.feed(piece)
return hasher.getvalue()

Соответственно, при каждой «кормёжке» объекта хэшера данными, он вычисляет следующее состояние хэша. Если данные всегда начинаются с известной соли, то можно в качестве начального состояния хэшера брать всегда одинаковый хэшер (с заданным состоянием), куда уже скормили соль, и просто перебирать пароли, как будто соли нет вообще.

2011/10/24

Защита сетевого сервиса *nix от перебора пароля

fail2ban - общее решение, слежение и анализ журналов
- http://www.fail2ban.org/wiki/index.php/Main_Page
- http://www.howtoforge.com/fail2ban_debian_etch
нужно проверить потребление ресурсов
пакетный фильтр под каждый сервис
linux, bsd - разные фильтры

решение для непостоянно требуемого сервиса - открытие порта по требованию

http://www.opennet.ru/openforum/vsluhforumID3/60976.html#215
простейший portknock'ер работающий по icmp
-A INPUT -p icmp --icmp-type 8 -m length --length 153 -m recent --name pk --rsource --set -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -m length --length 154 -m recent --name pk --rsource --update --hitcount 1 -j ACCEPT
-A INPUT -p icmp --icmp-type 8 -m length --length 155 -m recent --name pk --rsource --update --hitcount 2 -j ACCEPT
-A INPUT -p tcp --dport 22 -m recent --name pk --rsource --rcheck -j ACCEPT
-A INPUT -p tcp --dport 22 -j DROP
для того чтобы открыть 22 порт достаточно и необходимо
ping -s 125 -c 1 адрес
ping -s 126 -c 1 адрес
ping -s 127 -c 1 адрес

количество пакетов регулируется через --hitcount
сами числа передаются через длину icmp-echo

хорош тем что инструмен "стучания" обычно доступен

2011/09/16

Заморочки ИТ-безопасности

Атака холодной перезагрузкой

Прочее

2009/09/14

Инь Фу Во

Однажды Сисадмин захотел установить в локальной сети сканер безопасности.
Инь Фу Во сказал:
– Не делай этого.
– Но почему?
– В нашей сети сто компьютеров. Сканер найдёт тебе по две-три уязвимости на каждом из них.
– Ну, да, найдёт...
– А что ты будешь делать с этими уязвимостями?
Сисадмин задумался и ничего не ответил Учителю. Сканер безопасности он не поставил.