Bir şifreyi karıştırırken, birçok programcının BCrypt algoritmasını kullanmanızı tavsiye ettiğini okudum.
C # ile programlama yapıyorum ve BCrypt için iyi bir uygulama bilen var mı merak ediyorum? Bu sayfayı buldum , ancak sahte olup olmadığını gerçekten bilmiyorum.
Bir şifre karma şeması seçerken nelere dikkat etmeliyim? BCrypt 'iyi' bir uygulama mı?
Yanıtlar:
İlk olarak, önemli olan bazı terimler:
Karma - Bir dize alma ve orijinal dizeye geri döndürülemeyen bir dizi karakter üretme eylemi.
Simetrik şifreleme - bir karakter dizisi bir dizi alarak ve üretme hareket - (genellikle sadece 'şifreleme' olarak adlandırılır) için şifreli aynı şifreleme anahtarı kullanılarak özgün dizeye şifresi.
Gökkuşağı Tablosu - belirli bir karma algoritmada karma hale getirilmiş tüm karakter çeşitlerini içeren bir arama tablosu.
Tuz - hashing uygulanmadan önce orijinal dizeye eklenen bilinen rastgele bir dize.
.NET Framework için, Bcrypt henüz doğrulanmış bir referans uygulamasına sahip değildir . Bu önemlidir çünkü mevcut bir uygulamada ciddi kusurlar olup olmadığını bilmenin bir yolu yoktur. BCrypt for .NET uygulamasını buradan edinebilirsiniz . İyi mi yoksa kötü bir uygulama mı olduğunu söyleyecek kadar kriptografi hakkında yeterince bilgim yok. Kriptografi çok derin bir alandır. Kendi şifreleme algoritmanızı oluşturmaya çalışmayın . Ciddi anlamda.
Kendi parola güvenliğinizi uygulayacaksanız (iç çekecekseniz), birkaç şey yapmanız gerekir:
Ne yazık ki, tüm bunları yapsanız bile kararlı bir bilgisayar korsanı potansiyel olarak şifreleri çözebilir, bu onun için gerçekten çok uzun zaman alır. Bu senin baş düşmanın: Zaman .
Tek gereken, çünkü bcrypt algoritma çalışır beş karma uzun büyüklükte MD5 daha bir şifre emir ; (ve hala AES veya SHA-512'den çok daha uzun). Hacker'ı parolalarınızı aramak için gökkuşağı tablosu oluşturmak için çok daha fazla zaman harcamaya zorlar ve bu da parolalarınızın saldırıya uğrama riskini çok daha az azaltır.
Şifrelerinizi tuzluyor ve hashing yapıyorsanız ve her bir tuz farklıysa, potansiyel bir bilgisayar korsanı, tuzlu + karma bir şifre için bir gökkuşağı tablosuna sahip olmak için her tuz çeşidi için bir gökkuşağı tablosu oluşturmalıdır . Bu, 1 milyon kullanıcınız varsa, bir bilgisayar korsanının 1 milyon gökkuşağı tablosu oluşturması gerektiği anlamına gelir. Her kullanıcı için aynı tuzu kullanıyorsanız, bilgisayar korsanının sisteminizi başarılı bir şekilde hacklemek için yalnızca 1 gökkuşağı tablosu oluşturması gerekir.
Parolalarınızı tuzlamıyorsanız, bir saldırganın yapması gereken tek şey, oradaki her uygulama (AES, SHA-512, MD5) için mevcut bir Rainbow tablosunu açmak ve hash ile eşleşen birinin olup olmadığına bakmaktır. Bu zaten yapıldı , saldırganın bu Rainbow tablolarını kendisinin hesaplaması gerekmez .
Tüm bunlara rağmen, iyi güvenlik uygulamaları kullanıyor olmalısınız . Sitenizde başka bir saldırı vektörünü (XSS, SQL Enjeksiyonu, CSRF, vb. ) Başarıyla kullanabilirlerse , iyi parola güvenliğinin önemi yoktur. Bu tartışmalı bir ifadeye benziyor, ancak bir düşünün: Tüm kullanıcı bilgilerinizi bir SQL enjeksiyon saldırısı yoluyla alabilirsem veya kullanıcılarınızın bana tanımlama bilgilerini XSS aracılığıyla vermesini sağlayabilirsem , şifreniz ne kadar iyi olursa olsun güvenliktir .
Diğer kaynaklar:
Not: Lütfen başka iyi kaynaklar önerin. Düzinelerce yazarın bir düzine makalesini okumuş olmalıyım, ancak çok azı Jeff'in yaptığı kadar açık bir şekilde konu hakkında yazıyor. Lütfen makaleleri buldukça düzenleyin.
Sen kullanmamalıdır NET'te Bcrypt. Sen kullanmanız gerekir yerleşik .NET framework uygulaması ile olduğu gibi PBKDF2. NIST tarafından önerilen algoritma olmasının yanı sıra, .NET'te şifrelenmiş olarak doğrulanmış tek uygulama budur .
StackId daha önce BCrypt kullanıyordu ve bu nedenle PBKDF2'ye taşındı:
Merak edenler için, PBKDF2 ile şifreleri karıştırıyoruz. Alakalı kod burada ( http://code.google.com/p/stackid/source/browse/OpenIdProvider/Current.cs#1135 ), birkaç yönlendirme katmanı üzerinden. Daha önceki bir yinelemede, BCrypt kullanıyorduk; ancak .NET çerçevesinde inşa edildiği için PBKDF2'ye geçildi, oysa BCrypt bir uygulamayı doğrulamamızı gerektirecekti (küçük bir girişim yok).
(GitHub'da güncellenmiş bağlantı)
Düzenleme: Kriptografik terimlerle doğrulanmış ifadesinin anlamı hemen anlaşılmamış gibi görünmektedir, doğrulanmış bir uygulama, hatasız olarak uygulanmasının şifreli olarak kanıtlandığı anlamına gelir. Bunun maliyeti kolayca 20.000 $ veya daha yüksek bir değere ulaşabilir. OpenSSL üzerinde araştırma yaparken bunu hatırlıyorum ve tüm doğrulama sürecini tamamlamadıklarını belirttikleri yerleri okudum, ancak tam olarak doğrulanmanız gerekiyorsa, bunun için doğru yolu gösterebileceklerini ve ilgili maliyetleri belirtmiş olduklarını tam olarak doğrulamanız gerekiyorsa. Bazı hükümet gereksinimleri, doğrulanmış şifreleme algoritmaları için yetkileri içerir.
.NET'teki bcrypt uygulamaları doğrulanmadı. Doğrulanmamış bir şifreleme uygulamasını kullanarak, şifrelenmiş olana bir arka kapıya izin vermek gibi kasıtlı kötü niyetli hatalar veya kriptografik olarak güvensiz verilerle sonuçlanan kasıtsız uygulama hataları olmadığından kesinlikle emin olamazsınız.
2014 düzenlemesi: Doğrulanmış kriptografik algoritmaları kullanmanın zorunluluğunu sorgulayan herkes, OpenSSL'de istismar edilen yürek kanayan hack tarafından yaratılan yıkıma bakın . Doğrulanmamış bir uygulama kullanmanın maliyeti budur. Bu güvenlidir .... herhangi bir kişinin sunucunuzun tüm bellek içeriğini okuyabileceğini öğrenene kadar.
Heartbleed'i tanıtan değişikliğin yazarı Robin Seggelmann, "uzunluk içeren bir değişkeni doğrulamayı kaçırdığını" belirtti ve hatalı bir uygulama sunma niyetini reddetti. Heartbleed'in açıklamasının ardından Seggelmann, OpenSSL'nin yeterli sayıda kişi tarafından incelenmediğini belirterek ikinci konuya odaklanmayı önerdi.
Bu, doğrulanmamış bir uygulamanın tanımıdır. En küçük kusur bile tüm güvenliğin sakat kalmasına neden olabilir.
2015 düzenlemesi: Öneriye dayalı dil kaldırıldı ve mutlaklar ile değiştirildi. Gelecek için gömülü orijinal Kevin Montrose yorumu.