Ola Andreas, Desculpe pela demora desse meu reply, eh que eu estava sem internet! =]
Andreas:>Voc� faz um hash da pr�pria senha. Correto na tecnica de hash, a senha_do_usuario eh a propria chave_de_cript. Interessante nao sabia disso. Mas por exemplo hash's entao so sao viaveis para serem usados como autentical��es locais e remotas. Nao eh viavel para transmiss�o de dados,certo ? Pq para transmiss�o de dados suponha que o cara logou um um servi�o tipo um telnet que usa hashs para passar os dados, entao o mesmo da um "ls -la", a string "ls -la" seria usada como dado e chave_de_criptografia e geraria um hash, que quando chegasse do outro lado "do servidor" ele teoricamente nao seria possivel de descobrir que comando eh, correto ? Tudo bem em um exemplo simples como "ls -la" tudo bem mas e para palavras que nao sao comuns ou scripts que o proprio usuario criou com nomes muito "esquisitos". Bom resumindo nao eh viavel/"possivel" usar hashs para tranmissao de dados, certo ? Andreas:>Por exemplo: $ echo senha | md5sum 6fd720fb42d209f576ca23d5e437a7bb - Andreas:> Eu estava testando esse md5sun. Eu nao sabia que ele tinha essa utilidade de gerar HASH's baseado nas palavras!! =] Porem eu acho que ele nao funciona direito ou nao segue um padrao!! Veja pq digo isso: [root@lnx www]# echo zgrp |md5sum c07f6eb200b002db562959ba2ea1efbb - Perfeito o hash esta criado. Entao eu crio um usuario e seto a senha para zgrp e o hash no shadow eh: [root@lnx www]# cat /etc/shadow|grep test test:$1$YPCz8Ol.$Q1w1jZ9RzLXU1N3mhBC.w.:11736:0:115:10:-1:-1:2147481260 Estranho demais. Vc ve os dois usam MD5 para mesma senha e sao totalmente diferentes!!!! Ainda para confimar usei o htpasswd para gerar um usuario com senha formato MD5: [root@lnx login]# htpasswd -m .htpasswd test New password: zgrp Re-type new password: zgrp Adding password for user test [root@lnx login]# cat .htpasswd |grep test test:$apr1$kcgaN...$o08WBSAzymlerNRPSC9p61 Putzzz... nao bate com nenhuma das outras duas senhas que sao iguais usando o mesmo Algoritimo (MD5). Nao deveriam ser todos iguais ?? Desse jeito como vc pode baseado em palavras montar um dicionario de senhas para HASH's em MD5, ou melhor como o proprio Linux consegue adivinhar qual dos 3 hashs gerados da mesma senha pelo mesmo algoritimo esta correto ?? :/ Andreas:>A partir do n�mero n�o se obt�m "senha" (a n�o ser por for�a bruta, tentando todas as combina��es de caracteres, n�meros, s�mbolos, etc e calculando o md5). Mas, se eu pegar o que o usu�rio me passou, "hashear", e der aquele mesmo n�mero ... Eh... isso eu ja sabia!! Pelo menos isso! heheh :P Andreas:>Sim e n�o. � claro que existe mais de uma entrada diferente que possa dar o mesmo hash, por isso que os hashes s�o de 128 bits para cima. Mas n�o � o que eu quis dizer ali. Andreas:>Se a senha for "bla", antes de fazer o hash, pega-se dois bytes aleat�rios, eles s�o acrescentados a "bla" e a� � feito o hash. Esses dois bytes aleat�rios s�o o salt. Agora eu saquei qq eh esse salt. Ele eh utilizado para aumentar a seguran�a. Como se fosse uma especie de One-Time-Password adicionada a senha do usuario sem que ele saiba, apenas para dificultar o crackeamento! Muito inteligente essa "tecnica". Uma espessie de "Personal IdeNtification" enbutida na senha! :) Porem, esse salt de "2 caracteres" deve ser adicionado em algun arquivo separado para quando o sistema for autenticar o usuario ele conhe�a o salt correto para que a autentica��o nao falhe correto ? Pq senao ele pode usar um salt errado! Onde fica guardado esse arquivo com os 2 bytes que nao fazem parte "diretamente" da senha do usuario ?? Talvez eu tenha complicado um pouco a minha ideia aqui, vou tentar me expressar melhor: o cara escolhe a senha "joao" o sistema adiciona o seguinte salt pra ele "12" ficando "12joao" entao passa no algoritimo e suponha que fique o seguinte hash: fe2ce87072a23432aa6de54405fd99a2 Criada a senha. Agora quando o usuario for logar ele escrevera apenas joao, e gerar o hash sera: 7fe7e5b17c904c1fdfd6cde96dcfd23c Entao a autnetica��o falhara, porem o sistema deve gravar esses dois caracteres em um lugar seguro para sempre depois que o usuario digitar a senha concatena-lo e tirar o hash e comparar com o hash do sistema, correto ? Andreas:>Se eu tiver um dicion�rio com a palavra "bla", n�o adianta eu simplesmente "hashe�-la" para comparar com o que tiver no /etc/shadow, tenho que acrescentar o salt correto. Deve ser por isso que os comparadores de hash (John Ripper) demoram tanto! :P Andreas:>Esse salt t� no /etc/shadow, ent�o n�o tem muito problema. Agora, se eu quiser poupar tempo e montar um dicion�rio j� "hasheado", teria que pegar "bla" e "hashear" 64k vezes, prevendo todos os salts poss�veis. Hummm... 64 ? Esse 64 vc tirou dos 23 caracteres do alfabeto (brasileiro) + 9 digitos * 2salts = 64 Nesse caso vc nao se esqueceu das letras W/Y/K ? Nao seria entao 26 + 9 * 2salts = 70 ?? Entao nao seriam 70 * 70 = 4900 possibilidades de salts diferentes pra cada senha ?? :) ps.: Isso que nem contamos caractes especiais! :P (eles nao sao usados para o salt ??) ps.: Entao pra faze um brute force disso, leva uma eternidade! :P Se a senha for boa mesmo!! Caso o sistema operacional nao salve o salt em nenhum arquivo, para um usuario ele ate pode fazer uma especie de brute-force com todas possibilidades de salt pre-definidas... porem isso sao varias compara��es... mas como as maquinas sao rapidas... talvez nao seja perceptivel ao usuario! Afinal como funciona, ele grava o salt ou checa todas possibilidades ?? ps.: Se ele gravar num arquivo, nao vai faze diferen�a pq o "hacker" copia o arquivo com o salt e ja tem o hash correto e nao tem problema algum pra crackea! :) Ja se o sistema perder um tempinho e nao gravar o salt, ele fica com mais seguran�a nao ?? Sera que eu "viajei" demais ou faz sentido ?? hehehe :P Andreas:>� bem poss�vel, gpg usa SHA-1 como hash, por exemplo :) SHA-1 eh mais seguro que MD5 ?? ps.: SHA teve varios problemas de seguran�a no passado! hehe :P Eu:> Nessa epoca era facil ser "hacker" em! hehehe Andreas:>Tempos inocentes hehehehe, daqui a uns 3 anos o mesmo sera dito dos dias de hj! :) t+ [ ]'s e brigadao. ------------------------------------------ Use o melhor sistema de busca da Internet Radar UOL - http://www.radaruol.com.br Assinantes em 18/02/2002: 2238 Mensagens recebidas desde 07/01/1999: 155028 Historico e [des]cadastramento: http://linux-br.conectiva.com.br Assuntos administrativos e problemas com a lista: mailto:[EMAIL PROTECTED]
