Eigen wachtwoord-codering...
ik heb een vraag,
Ik heb net een nieuwe wachtwoord-codering gemaakt en ik wil weten of hij veilig is...
Dus kunnen jullie even ECHT ALLES proberen om hem te kraken???
Het gecodeerde-wachtwoord:
Code:
e0627cef745365766e592ad62e9cd19faabd8d5e
Je kunt het wachtwoord controleren op:
http://waloscript.freehostia.com/ptest.php?p=Antwoord
Je kunt hier zien of het wachtwoord al gekraakt is...
http://waloscript.freehostia.com/presult.php
Alle middelen toegestaan om het te kraken!
Groeten, Rens
P.S. Als je post 'Onmogelijk', maak je me al helemaal blij =)
Gewijzigd op 01/01/1970 01:00:00 door Rens Rikkerink
wat ik me trouwens afvraag,
als je een wachtwoord hebt, die versleutel je eerst mbv MD5, en daarna nog eens met dat his4 ofzo(dr was iig nog zoiets na md5)
is het dan nog veeeel veiliger?
@Leon Kunst, md5, sha1... dat gedoe mengen... Ik denk dat het dan wel veel veiliger is...
Of: Ik heb een keer gezien bij WBB (Woltlab Burning Board), dat er 2 wachtwoord variabelen in de db staan, md5 en sha1... Eerst controleerd hij de md5, dan de sha1, als er eentje niet klopt, fout wachtwoord...
Gewijzigd op 01/01/1970 01:00:00 door Rens Rikkerink
het zou al wat zijn als je kan zien wat de hash is van een opgegeven wachtwoord.
dan zou je misschien iets kunnen achterhalen van hoe hij is opgebouwd.
met wat je nu hebt kan je een scriptje maken dat gewoon willekeurige wachtwoorden submit naar je script, en dan de andere pagina opvraagt om te kijken of het goed was.
Uitgebreide discussie over wachtwoorden, salt en manieren van hashen. Zeker de moeite waard om eens door te lezen.
@Crispijn, md5 en sha1 zijn tegenwoordig al niet meer zo betrouwbaar...
@pepijn, als iemand mijn db hackt, weten ze de hash of ritme ook niet....
Gewijzigd op 01/01/1970 01:00:00 door Rens Rikkerink
maar als iemand in de db zit kan hij wel alle wachtwoorden vergelijken, dus zou je wel de hash van 5 verschillende woorden kunnen geven?
een vraag die bij mij opkomt, waarom zou je alleen 0-9 en a-g gebruiken?
ik zou alle tekens die je maar kan verzinnen gebruiken, alleen kan je dan niet meer een string tot nummer maken, en daar me gaan rekenen en tenslotte omzetten naar hexadecimaal nummer.
maar dan zou je eigenlijk gewoon een functie moeten maken die 40maale nummers maakt ofzo :P
men zegt altijd dat een hash niet te decoderen is, dat lijkt mij een onzinnige bewering.
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
wat nou als je je hash scriptje met C inplaats van met php in de cgi bin compiled, dan kan een hacker ook niet achter de functie komen als hij in de server zit omdat het gecompiled is toch?
pepijn de vos schreef op 24.04.2008 17:13:
Nadeel? Juist een voordeel, nu kunnen de echte experts er hun licht over laten schijnen. Ik weet dat 1 + 1 gelijk is aan 2, maar om mezelf nu een wiskundig expert te noemen, dat gaat wat ver. Maar dat is wel waar het bij beveiliging om draait. Met flinke kennis van wiskunde en beveiliging kun je pas gaan beoordelen of een methode veilig is.dat is natuurlijk wel een nadeel van md5 en sha1, iedereen kan kijken wat en hoe het doet, je eigen functie kent niemand de werking van.
Een methode niet tonen en op je blote knieen smeken dat het niet wordt gekraakt, dat is schijnveiligheid.
Codes:
ba2da75163bee1336231056d021e458adb286b7e
f6e655b6d8e2f3827213db57b2212cff425debbb
bff9b9f490436a602a7e2537d8569ffc424ce028
b4b736399f3c6347ee30ceb6dad054d1b2dd5503
b5d25c3f11ea8d0a6ca1bfa0b158d176507cbd2b
f6e655b6d8e2f3827213db57b2212cff425debbb
bff9b9f490436a602a7e2537d8569ffc424ce028
b4b736399f3c6347ee30ceb6dad054d1b2dd5503
b5d25c3f11ea8d0a6ca1bfa0b158d176507cbd2b
Elke code, eigen regel
Probeer het maar... =)
En ik verraad 1 tip:
Tip:
Het maakt gebruik van Pi
(De eerste 2.500.000.000.000.000.000.000.000 decimalen...) Lekker veel zg XD
(De eerste 2.500.000.000.000.000.000.000.000 decimalen...) Lekker veel zg XD
Gewijzigd op 01/01/1970 01:00:00 door Rens Rikkerink
Quote:
men zegt altijd dat een hash niet te decoderen is, dat lijkt mij een onzinnige bewering.
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Ypma schreef op 24.04.2008 18:01:
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Quote:
men zegt altijd dat een hash niet te decoderen is, dat lijkt mij een onzinnige bewering.
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Maar je hebt het dan wel gedecoded, je hebt dan immers iets wat je kan gebruiken...
want ik heb echt geen flauw idee waar te beginnen, en google levert niet echt veel interressante artikelen op(behalve windows admin rechten krijgen, waarvoor je je wél op een admin account moet bevinden :S)
Vaak wordt ook gebruik gemaakt van binair, en dan wordt daarmee ge-hokus-pokus-t.
Karl schreef op 24.04.2008 19:36:
Maar je hebt het dan wel gedecoded, je hebt dan immers iets wat je kan gebruiken...
Ypma schreef op 24.04.2008 18:01:
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Quote:
men zegt altijd dat een hash niet te decoderen is, dat lijkt mij een onzinnige bewering.
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Maar je hebt het dan wel gedecoded, je hebt dan immers iets wat je kan gebruiken...
nee dat is niet helemaal waar "de" in "decoderen" staat voor het omdraaien van het proces van een begin waarde naar een eindwaarde.
In dit geval is de begin waarde niet altijd gelijk aan het resultaat wanneer je decodeerd. Je kunt er dus wel een woord uit halen. Maar dat wil nog helemaal niks zeggen.
Ypma schreef op 24.04.2008 20:38:
nee dat is niet helemaal waar "de" in "decoderen" staat voor het omdraaien van het proces van een begin waarde naar een eindwaarde.
In dit geval is de begin waarde niet altijd gelijk aan het resultaat wanneer je decodeerd. Je kunt er dus wel een woord uit halen. Maar dat wil nog helemaal niks zeggen.
Karl schreef op 24.04.2008 19:36:
Maar je hebt het dan wel gedecoded, je hebt dan immers iets wat je kan gebruiken...
Ypma schreef op 24.04.2008 18:01:
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Quote:
men zegt altijd dat een hash niet te decoderen is, dat lijkt mij een onzinnige bewering.
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
elke keer als je een woord hasht krijg je de zelfde hash, dus is er een vast patroon om dat te doen, dus kan je dat ook andersom doen toch?
Nee dat is niet mogelijk. Puur alleen omdat meerderer woorden dezelfde hash op kunnen leveren.
Als "fiets" 1234abcd oplevert en aap ook 1234abcd... hoe wil jij dan ooit 1234abcd gaan decoderen? Je kunt alleen maar gokken.
Maar je hebt het dan wel gedecoded, je hebt dan immers iets wat je kan gebruiken...
nee dat is niet helemaal waar "de" in "decoderen" staat voor het omdraaien van het proces van een begin waarde naar een eindwaarde.
In dit geval is de begin waarde niet altijd gelijk aan het resultaat wanneer je decodeerd. Je kunt er dus wel een woord uit halen. Maar dat wil nog helemaal niks zeggen.
De wilt idd zeggen dat het omgedraait is, netzoals asociaal en sociaal. Alleen jij vergeet dat dezelfde ciphertext uit meerdere beginwaarde (plaintext) kan zijn ontstaan, netzoals een kwadraatische functie, die kan ook twee x waarden hebben voor y = 0.
En wat maakt het uit als je bijvoorbeeld plaintext aap of mies uit de ciphertext komt? Het is een wachtwoord, als je dat invult op een site oid, wat dan wordt vergeleken met de ciphertext, blijkt het dat het overeen komt, en dus dat je kan inloggen.
Misschien is Wikipedia's definitie van decoderen ook wel interessant:
Wiki:
Decoding is the reverse of encoding, which is the process of transforming information from one format into another.
Volgens mij is het bij md5 zelfs zo dat je niet meerdere beginwaarden hebt. Maar om dat te decrypten heb je weer rainbow tables.
Welke beveiligings methodes gebruiken de wat gevordenen hier dan? (pgFrank e.d.)
md5 gebruik ik alleen nog maar voor checks of de bestanden verstuurd als er dataverlies/ruis/manipulation is voorgekomen.
Verder om mannetjes in het midden dwars te bomen kan een dynamic salt en dat client-side hashen ook voordeel bieden.
Ik ben zelf geen fan van security by obscurity (wat rens nu doet door bijv. dingen als pi, cos tan of weet ik veel erbij te gooien), aangezien wil je het verhuizen naar client-side dan zal de source toch wel open en bloot te zien zijn (javascript bijv.)
Gewijzigd op 01/01/1970 01:00:00 door Riemer
En verder heeft de gêne ook de mogelijkheid om je login script aan te passen als iemand inlogt er een mail met wachtwoord verzonden wordt naar de indringer. (dus voor je hem hebt geéncrypt).
Maarja, na mijn mening is MD5 met daarin één woord verwerkt in een array.
Al veilig genoeg om de wachtwoorden niet met 1 op zicht te kunnen lezen.
Als iemand kwaadwillig is komt die er wel, er zijn vele wegen.