On 12.11.2014 23:48, M.M. wrote:
> On Wednesday, November 12, 2014 11:24:20 PM UTC+1, Stachu 'Dozzie' K. wrote:
>> Widziałeś kiedyś zawartość /etc/shadow? Czym jest twoim zdaniem ciąg po
>> drugim dolarze w "$1$...$........"? Sól nie musi być nieznana, wystarczy
>> że będzie inna dla każdego hasła.
> Wystarczy do czego? Jak wygląda kompletna lista konkretnych zalet względem
> soli takiej samej dla każdego hasła?

Trzeba podejść do sprawy paranoicznie. Za zol uzywamuy liczby
wygenerowanej dla hasła użytkownika i liczby zapisanej w kodzie.
;-)


> Może ja zacznę tę listę, a Ty
> ją skorygujesz i rozbudujesz - jeśli mogę prosić.
>
> 1) Nie można ustalić kto ma takie same hasła na podstawie listy
> loginów i zakodowanych haseł.
> 2) Nie można łamać wszystkich haseł na raz.
>
> Co jeszcze? Co dalej?

A nie wystarczy? Raz unikamy ataku statystyką i słownikiem,
którego koszt jest praktycznie darmowy, za drugim zwiększamy
koszt obliczeniowy ataku *liczba użytkowników, czyli potencjalnie
miliony razy.


pzdr
bartekltg