phpBB2 by Przemo

Przemo · **Pomógł:** 210 razy Posty: 3148

Po bardzo burzliwej dyskusji na GG z Widmo i z FanFataL'em postanowilem napisac ten temat aby zapytac was o zdanie. Oni niestety nie byli w stanie wysunac konkretnego argumentu przeciwko mojemu pomyslowi, choc argumentów mieli kilka i bardzo są temu przeciwni.

Chodzi o kodowanie hasel userow w bazie danych, w tej chwili jest ono kodowane md5('haslo')
Rozkodowanie hasla 4-ro znakowego zajmuje kilka sekund, 5-cio znakowego znacznie dłużej ale też jest do złamania. Zagrożenie pojawia się, gdy baza danych dostanie się w niepowołane ręce, może to nastapić na skutek ataku, lub zwykłej kradzieży tabeli userów przez admina serwera, który ma zamiar np. za tydzień zwolnic się z pracy i postanawia sobie zaszaleć. Na pewno odkoduje kilkaset haseł, z czego wiele będzie takie samo jak np. do e-mail'a lub GG które jest w komórce obok, po wejsciu na skrzynke (gdy user nie kasuje emailow na serwerze) moze znalezc dalsze jego konta do atakowania. Generalnie skutki dla userow moga być fatalne.

Moj pomysl jest taki (i juz to zrobilem w wersji beta8) zeby zapisywac haslo w postaci md5 * 10000
Czas gerowania takiego hasla na celeronie 900 to 0.8 sekundy. Generowanie odbywa sie tylko w przypadku:
- Rejestracji
- Zmiany hasla
- Ręcznego logowania z formularza
Nie jest generowane podczas automatycznego logowania z ciastek gdyz w w nowych wersjach phpBB2 w ciastkach nie ma juz zapisywanego hasla w formie md5() tylko specialny unikalny klucz

Jakie byly argumenty przeciw:
1. Obciazenie serwera
2. Tak się nie robi
3. Wystąpienie kolizji

Ad1. Nie będzie obciążenia, jak pisałem trwa to ułamek sekundy i będzie używane średnio raz na 5 dni na usera
Ad2. A co mnie to obchodzi? Jakby kazdy tak myslal to nikt by nic nowego nie wymyslil

Ad3. No i co z tego??? Niech wystąpi kolizja jaki będzie jej objaw? Żaden.

Chciałbym się dowiedziec co Wy sądzicie na ten temat.

Dodatkowo zastanawiam się aby zamiast md5 użyć sha1 również razy 10000 Tutaj tez były argumenty przeciw lecz w tym przypadku się nie kłucę bo nie znam dobrze zasady działania sha1

Gadatliwa Kasia

nasedo · **Pomógł:** 318 razy Posty: 1895

Paszczak000 · **Pomógł:** 317 razy Posty: 2898

odpada. wtedy łamanie hashy za kasę pójdzie w niepamięć.

a po co razy 1000? nie lepiej zrobić może:

Kod:

md5(base64($haslo))

hasło test:
base64: dGVzdA==
i juz base zawiera znaki specjalne, duże małe literki

i md5 praktycznie nie do złamania.

a może z md5() przejść na inny szyfr?

przecinek · **Pomógł:** 272 razy Posty: 890

0,8s, jak sobie wyobrażasz aktualizację istniejących forów mających kilkanaście tysięcy użytkowników? I po co 10000, lepiej liczbę z zakresu 1-10000 zapisaną w config.php i ustalaną przy zakładaniu/aktualizacji — wtedy ktoś, kto dostanie się tylko do bazy, nie będzie jej znał.

MakArios · **Pomógł:** 105 razy Posty: 818

IMO rozwiązanie Paszczaka byłoby lepsze, ale nie wyznaję się aż tak na zabezpieczeniach

. Tak czy inaczej obciążenie faktycznie by wzrosło, szczególnie przez pierwsze kilka dni po aktualizacji do 1.12.0, a więc zgadzam się z przedmówcami, Widmem i FanFatalem.

niczeq · **Pomógł:** 17 razy Posty: 171

ja bylbym za :roll:

bezpieczenstwo userów to podstawa :twisted:

Paszczak000 · **Pomógł:** 317 razy Posty: 2898

Przemo, pamiętaj, że jesteś kompatybilny z phpBB. Jak zrobisz deinstalację do czytsego phpBB? Będziesz zamieniał md5()*1000 na md5()? No chyba, że wywalasz deinstalator.... a update z czystego do Twojej wersji, to o czym pisze przecinek?

BUSTED

Widmo · **Pomógł:** 180 razy Posty: 2435

niczeq · **Pomógł:** 17 razy Posty: 171

Przemo · **Pomógł:** 210 razy Posty: 3148

nasedo, odnosnie obciążenia to nawet nie ma o czym mówić, gdzie masz forum gdzie w czasie 5 minut loguje się ręcznie 20 osób? Chyba tylko fora giganty tupu phpbb.com moge zrobić 5000 w razie czego

Paszczak000, wbrew pozorom to nie utrudnia wogóle

Zwiększa tylko czas łamania o 100% podobnie jak md5() * 2

przecinek, to tez pozory

Po tej zmianie nikt nie odczuje różnicy

Podczas logowania jesli haslo usera jest pojedynczym md5() zostanie w bazie zastapione nowym * 10000 Problem jest tylko w przypadku odinstalowywania modyfikacje, wtedy uzytkownicy beda musieli korzystac z generowania nowych hasel, ale mysle, ze nie ma co brac tego za bardzo pod uwage.

Trucker · Posty: 18

ja jestem przeciw; jak ktos ma wolnego kompa to te procesy mogą zająć wieki wieków

Widmo · **Pomógł:** 180 razy Posty: 2435

Przemo · **Pomógł:** 210 razy Posty: 3148

nasedo · **Pomógł:** 318 razy Posty: 1895

Gadatliwa Kasia

Paszczak000 · **Pomógł:** 317 razy Posty: 2898

Przemo, nie utrudnia? nie rozumiem. skoro phpBB hashuje raz... a Ty przykładowo 1000 razy.. to odinstalowując modyfikację musisz hasło (które jest zahashowane 1000 razy) podać w formie zahashowanej 1 raz. Ja nie umiem rozhashować 999 razy ciągu znaków długości 32