Zobrazit příspěvky

Tato sekce Vám umožňuje zobrazit všechny příspěvky tohoto uživatele. Prosím uvědomte si, že můžete vidět příspěvky pouze z oblastí Vám přístupných.


Příspěvky - Filip Jirsák

Stran: [1] 2 3 ... 303
1
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: Dnes v 20:30:37 »
Priklad podobneho obrazku s malou zmenou - vyjde uplne jiny hash.
Stejně mi to nedá. Vy jste psal o vytvoření hesla, PanVP si vzpomněl na svůj geniální generátor náhody. V obou případech tedy šlo o generování entropie. A vy jste k tomu přilepil svůj objev, že kryptografické hashovací funkce jsou záměrně konstruovány tak, aby změna jediného bitu na vstupu vedla na úplně jiný výstup.

K čemu přesně chtěl této vlastnosti kryptografických hashovacích funkcí použít při generování náhody? Nepíšu o dalším využití, kdy potřebujete třeba změnit hustotu entropie. Ptám se na samotné generování, o kterém je celou dobu řeč.

(Chápu, že neodpovíte, protože na rozdíl od PanaVP máte o kryptografii alespoň nějaké mlhavé představy a tak tušíte, že správná odpověď je v tomto případě „k ničemu“.)

2
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: Dnes v 19:38:29 »
Ja jsem vubec nepsal, ze utocnik nebude zkouset cela slova, naopak jsem psal, ze to zkouset bude.
Aha, a tohle tedy psal kdo, když ne vy?

Tezko bude nejaky Brtute-Force cracker umet tvorit souveti a hadat.

Ovsem se sebe-vykonejsim notebookem nezvadne vice jak kombinaci dvou nahodne vybranych slov
Fakt? Že by nezvládl tři náhodně vybraná slova ze slovníku 10 slov? Mně to vychází na 1000 možných kombinací, to útočník zvládne i s málo výkonným notebookem.


A moznosti je opet extremni mnozstvi.
Používáte pozoruhodný argumentační postup. Nejprve určíte velikost nějaké množiny. Pak zvolíte jinou, řádově menší množinu. Pak ji nějak nafouknete – ale už nezkoumáte jak. A na závěr prohlásíte, že výsledná množina je extrémně velká. Bez jakéhokoli důkazu.

Takže pro vaši informaci – ne každá kombinace českých slov tvoří českou větu. Takže když jste přešel od „pět náhodně zvolených slov“ k „pěti slovům ve větě“, množinu možností jste obrovsky zredukoval. Nevíte jak moc, takže veškerá další práce s touhle množinou je jenom vaření z vody, o množství možností už nevíte nic.

Také byste neměl zapomínat na to, že když se někdo chce spoléhat na to, že si heslo bude pamatovat, musí si to heslo za prvé opravdu a přesně pamatovat, a za druhé musí být schopen to heslo také bezchybně napsat. Pokud tazatel to heslo bude psát každý týden, za souvětí vám pěkně poděkuje. A pokud ho bude psát jendou za několik let, pravděpodobně si vzpomene, o čem to souvětí bylo, v čem spočíval ten vtip – ale pak zjistí, že to pořád dává příliš mnoho kombinací.

Stale ale je tech moznosti vic nez 10^1000.
Jo, a na to jste přišel jak?

Vy jste zase zapomněl na jednu takovou drobnost. Bavíme se tu o generátoru entropie. To znamená, že foťák někam postavíte na stativ, a budete dálkově mačkat spoušť. Můžete ho dát i na servomotory a tím foťákem různě hýbat, ale pořád  budete fotit jen obrázky dostupné z jednoho místa. Nebo-li budete fotit pořád to samé. Budou tam sice nějaké odchylky, v závislosti na tom, kam ten foťák bude namířen – ale entropie tam bude nersovnatelně méně, než je počet možných fotek.

A ano, staci mala zmena ve fotce, a hash se totalne zmeni, ne ze ne.
Já jsem také nepsal, že se hash nezmění. Hash se zamozřejmě změní, ale z hlediska entropie je to úplně jedno – entropie tam máte pořád jen tolik, kolik jí bylo na vstupu. Hashování entropii nepřidává.

Entropie fotky a hashovani stejne s puvodnim dotazem nesouvisi.
To vysvětlujte PanuVP, já jsem mu to marně psal už asi třikrát.

Ano, kdyz je heslo slozene ze slov a utocnik pri psani uzivatele pozoruje, odposlechne, nebo natoci na kameru, tak skutecne se ty slova dohadaji lip, nez heslo z nahodnych pismen-cislic. Ale to uz neni o hadani hrubou silou, nybrz dizkuze o tom, jak odchytit heslo jinym zpusobem. A navic je to nadramec dizkuze. Hesla se opravdu hrubou silou nehadaji, nebot to nema smysl.
Jenže je potřeba uvažovat dál. Když nemá smysl hádat kvalitní heslo z plného slovníku hrubou silou, bude se útočník samozřejmě snažit nějak množinu možných hesel omezit. Vzhledem k tomu, že tazatel nepočítá s triviální variantou vygenerovat velmi složité heslo, vytisknout ho na papír a ten schovat, předpokládá útočníka ve svém okolí, který by to schované vytištěné heslo mohl najít. Jenže takový útočník má nejspíš také možnost odposlechnout klapot kláves na klávesnici při zadávání hesla. Když bude mít to heslo nahrané jen jednou a k tomu nějaké další texty, asi by netrefil všechny klávesy správně. Ale když bude vědět tu informaci, že heslo je věta složená z českých slov, může to množství vět, které bude procházet, redukovat třeba na stovky nebo tisíce vět. A z takového slovníku už se hrubou silou hádá velice dobře.

Takže se opět mýlíte – kvalitní hesla se nehádají hrubou silou ze všech možných kombinací hesla, ale nejprve se výrazně zmenší slovník možných slov a pak se hádá hrubou silou z něj. Ostatně dělá se to tak odjakživa – první pravidla pro tvorbu hesel byla „nepoužívejte jako heslo své jméno a jména blízkých“, další pravidlo bylo „nepoužívejte existující slova“. Protože první útok hrubou silou byl vytvořit si slovník jmen spojených s danou osobou. Další útok hrubou silou byl použít slovník slov nějakého jazyka.

Pro zvetseni entropie hesla a vetsi ochranu pred odcizenim. Krome retezce z 5 slov nebo souveti mit nekde ulozene a dobre schovany retezec z rekneme 12-20 nahodych alfa-numerickych znaku, ktery pak vlozit do pole pomoci copy-paste, pak jeste pouzit keyfile.
Místo vymýšlení svých geniálních šifrovacích postupů se zaměřte na to, co už je vymyšlené a hlavně ověřené. Vera Crypt podporuje keyfile, což je skutečná další vrstva zabezpečení. Takže ji neuvádějete jako jakýsi apendix k vašim čarodějným metodám, ale uvádějte ji na začátku jako velmi dobrý způsob zvýšení bezpečnosti, na rozdíl od těch vašich pokusů.

Priklad podobneho obrazku s malou zmenou - vyjde uplne jiny hash.
Gratuluju k objevu. Víte o tom, že tohle je jeden ze základních požadavků na kryptografické funkce? Takže to, co jste objevil, bohužel není váš objev. Ty funkce byly záměrně navrženy tak, aby se chovaly takhle.

Což ale pořád neznamená, že by kryptografické hashovací funkce generovaly náhodu. Negenerují, bohužel. Když budete mít na vstupu čtyřmístný PIN, můžete ho zahashovat, ale stejně zase dostanete jenom 10 000 různých hashů. Takže když na to někdo bude útočit, zase mu stačí vyzkoušet jenom 10 000 variant. Takže pokoušet se zlepšovat heslo nebo klíč tím, že vstup zahashujete, je zbytečné.

Je to prave naopak, uzivatel Filip Jirsak dokazal, ze vubec nerozumi bezpecnosti
Škoda, že jste tohle své tvrzení nepodpořil ani jediným důkazem toho, že jsem napsal něco o bezpečnosti špatně.

3
Bez zaslání IP adresy nemůžete s žádným serverem komunikovat.

4
Nedělá.
(viz výše)
Výše jste dvakrát popsal, že psaní do toho políčka vás přepne do adresního řádku. Takže napsání textu do toho políčka dělá přesně to samé, jako napsání textu do adresního řádku, protože je to napsání textu do adresního řádku.

Jinak pro vás mám radu. (Škoda, že jste se nad tím nezamyslel sám, mohlo by vás to napadnou.) Když vám chování toho vstupního políčka nevyhovuje, nepoužívejte ho. Když chcete psát rovnou do adresního řádku, pište rovnou do adresního řádku. Když nechcete psát nikam, nepište nikam. Když chcete jako úvodní stránku prázdnou stránku, nastavte si jako domovskou stránku prázdnou stránku.

Zatím jste akorát důkazem toho, že genderově nekorektní vtip, že žena neví co chce a nedá pokoj, dokud to nemá, je založen na předsudku a zjevně se netýká jen žen.

5
Odkladiště / Re:Omezení pokusů pro přístup
« kdy: Dnes v 14:49:43 »
Výpočet ani pravidlo není. Musí se to brát podle toho, co je účelem. Účelem omezení pokusů o přístup je to, aby nešlo přístupové údaje uhodnout hrubou silou, a zároveň aby se oprávněný uživatel dokázal přihlásit, když potřebuje. Takže záleží na spoustě okolností, třeba na tom, jak silná se používají hesla. Pokud to bude 4místný PIN, stačí těch pokusů hrozně málo a i omezení 3 chybné pokusy → blokace na 5 minut znamená, že útočník nejpozději za dva týdny PIN získá. Nebo-li s tím nevystačíte. Naopak pokud s jistotou víte, že uživatelé mohou mít jenom silná hesla, nemusíte blokování dělat vůbec.
Nebo-li počítejte s tím, jak máte silná hesla, jaké má oprávněný uživatel alternativy přihlášení (PUK, zaslání obnovovacího kódu e-mailem), jaké jsou jiné možnosti automatického hádání (např. po 2. špatném pokusu zapnout pro uživatele CAPTCHA). Na straně útočníka naopak počítejte s tím, že může hesla zkoušet z mnoha míst zároveň a také že po blokaci nezačíná znova od začátku, ale pokračuje tam, kde skončil.

6
Šmarjá.
A jaký je teda význam / účel / pointa toho textového pole uprostřed té stránky?
Proč ho tam dali?
Na to, aby na úvodní stránce byl uprostřed velký prvek, který má tu funkcionalitu, která je na dané stránce zdaleka nejdůležitější. Úvodní stránka by mohla být zcela bílá, ale pak by jaksi byla úplně stejná, jako prázdná úvodní stránka. Když ale uživatel na úvodní stránce vidí velké vstupní políčko, od kterého očekává, že bude vyhledávat nebo se do něj dá zadat adresa, nemusí po ničem pátrat, hledat malý adresní řádek – prostě klikne do toho velkého vstupního políčka uprostřed. Pochopí to i člověk, který nikdy před tím žádný prohlížeč neviděl. Takže když už úvodní stránka nemá být zcela prázdná, to nejlogičtější, co tam může být, je právě vstupní políčko, které dělá přesně to samé, jako adresní řádek.

Mám pro vás takový tip. Když máte ve svém dotazu dva body, které jsou to jediné, co lze  z textu chápat jako něco jako otázku, a když někdo na tyhle dva body odpoví, zkuste si nejprve ty odpovědi přečíst, než na komentář zareagujete. Je trochu divné, když se ve svém prvním komentáři zeptáte přesně na to, co je v odpovědi k prvnímu bodu, a ve svém druhém komentáři přesně na to, co je v odpovědi k druhému bodu.

7
1. Je to otravné (a působí to trapně).
Ale technologicky je to mnohem snazší, než zduplikovat plnou funkcionalitu adresního řádku v pravděpodobně běžné webové stránce.

2. Jeden se zamyslí, na co teda to vstupní pole v té ff stránce je.
Na to, aby na úvodní stránce byl uprostřed velký prvek, který má tu funkcionalitu, která je na dané stránce zdaleka nejdůležitější.

 :o ???
Měl jsem za to, že je to jasné, tak já se rozepíšu:
to "tak fokus přeskočí na to hypersuperinteližentní hledačo-adresní vstupní pole firefoxu a tam se děje, to co vždycky" znamená, že:

0. Vstupní pole (uprostřed) Firefox Home stránky má fokus, bliká v něm kurzor.
1. Po vložení prvního znaku fokus přeskočí do adresního řádku ff nahoře.
2. Veškerá následná činnost při zadávání dalších znaků - nášepty z historie url a hledání, gůglí nášepty - se děje v tom adresním řádku nahoře.

Tak co teď, nechceš se nad tím víc zamyslet a změnit svou reakci?
Z prvního popisu jsem to pochopil tak, jak jste to teď podrobněji popsal znovu. Zamyslel jsem se nad tím znovu, svou reakci změnit nechci. Možná se spíš vy zamyslete nad mou odpovědí k vašemu prvnímu bodu. Pro jistotu vám ji také rozepíšu:
Našeptávání z historie URL, hledání, našeptávání Google – to vše už je v adresním řádku prohlížeče naimplementované. Takže když prohlížeč zařídí, aby uživatel psal do toho řádku, všechno tohle automaticky funguje.
Kdyby však uživatel psal do vstupního políčka v domovské stránce (což je obyčejná webová stránka), nic z tohohle by tam nefungovalo, nebylo by tam žádné našeptávní. A kdyby tomělo fungovat, musela by se ta funkcionalita z adresního řádku zduplikovat do té domovské stránky. Nemluvě o tom, že v adresním řádku možná můžete mít nějaká rozšíření, která byste do té domovské stránky nedostal už vůbec.

8
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: 22. 07. 2021, 15:46:44 »
Nezlob se, ale už to ani nečtu.
To je vaše chyba. Já toho o bezpečnosti moc nevím, ale pořád je to o parník víc, než víte vy.

Jednak byla diskuze z mého pohledu zcela vyčerpána.
Ony jsou t uv jendom vlákně dvě věci – jednak k diskuze k tématu, a pak vaše nesmysly, které navíc s původním dotazem nijak nesouvisí.

A jednak na to nemám ani chuť ani náladu se přít.
Taky se nemáte přít, ale máte si nastudovat základy.

Děkuji autorům postů za ty lávové lampy
Rádo se stalo.

potěšilo mě, že jsem přišel na stejnou věc, na kterou přišel i někdo jiný
Přišel jste na něco úplně jiného.

9
1. Je to otravné (a působí to trapně).
Ale technologicky je to mnohem snazší, než zduplikovat plnou funkcionalitu adresního řádku v pravděpodobně běžné webové stránce.

2. Jeden se zamyslí, na co teda to vstupní pole v té ff stránce je.
Na to, aby na úvodní stránce byl uprostřed velký prvek, který má tu funkcionalitu, která je na dané stránce zdaleka nejdůležitější.

10
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: 22. 07. 2021, 14:58:10 »
Ad 1 - pleteš se.

Ad 2 - zdroj je obrázek, pokud selže fotoaparát, pořád můžeš generoval klíče, sic oslabené.
Zdorj entropie je v tom případě to 64bitové číslo? Takže něco jako 11znakové heslo z malých a velkých písmen a číslic? To je tedy terno.

Evidentně nerozumíš sha2.
Ne, prokazatelně mu nerozumíte vy.


Mixování je důležité, protože 64bitové číslo je "kupodivu" tak malé, že by se na něj dalo útočit hrubou silou.
Nenáhodným mixováním entropie nevzniká. Opište to stokrát – pochopit to je evidentně nad vaše síly, tak si to prostě zapamatujte jako fakt. Ano, na 64bitové číslo se dá útočit hrubou silou, a mixováním 64bitového čísla zase získáte jen 64bitové číslo.

Buď v tom máte sám zmatek a problematice nerozumíte, nebo nerozumíte mému popisu. V každém případě to už pro nikoho nemá smysl, ať si to autor udělá podle svého.
Problematice nerozumíte vy. Pro autora vaše příspěvky nemají smysl dávno – autor potřeboval vytvořit silné zapamatovatelné heslo, ne strašně složitě vyrábět 64bitový klíč.

Doplním, že jsem si nakonec přečetl několik dokumentů o implementaci fotografie jako zdroji entropie a potěšilo mě, že to mnoho lidí dělá podobně, jak jsem chtěl dělat já.
Ne, nedělají to podobně, jako vy. Jenže vy nechápete, co je podstatné a co jsou nepodstatné detaily nebo dokonce zbytečnosti. Takže nemůžete posoudit, zda v tom podstatném dělají věci stejně nebo jinak.

většina bez mixování
Samozřejmě, protože vaše mixování je zhola zbytečné.

Což je možná i lepší řešení, ale oni dokola generují náhodná čísla.
To je princip generátoru náhodných čísel. Je mi záhadou, co jste teda vlastně chtěl vyrábět vy.

11
Odkladiště / Re:COVID očkovací certifikát
« kdy: 22. 07. 2021, 14:48:28 »
O to tu ale nejde, tohle je zajímavější:
https://ockodoc.mzcr.cz/napoveda/ctecka/cz/podminky-pouzivani/
„Abychom zajistili funkčnost aplikace, pracuje i s údaji o jejím fungování (např. záznamy o pádech aplikace a používání aplikace) a používá k tomu standardní nástroje (Firebase Crashlytics a Google Analytics) od společnosti Google...“
Nejsem si jist, zda tohle vyžaduje přístup k internetu. Je možné, že to údaje předává systémové službě a teprve ta komunikuje po internetu.

Opravdu nejsou ti čeští *****i schopni vytvořit státní aplikaci bez asistence vrchního šmíráčka? Takhle to bude vypadat se všemi aplikacemi státní správy?
Navrhněte alternativu, která bude mít stejné funkce a její implementace a provoz bude stejně levný.

12
Odkladiště / Re:COVID očkovací certifikát
« kdy: 22. 07. 2021, 08:57:13 »
to ale jakoby muže taky bejt výhoda proněkoho kdo na koronavirusosovou pandemii hrát už nechce
Pro takového člověka ovšem bude daleko jednodušší žádné certifikáty neověřovat.

naco teda jako potřebuje čTečka přístup k netu furt viz. vobrázek v příloze :D
Aby si stáhla aktuální seznam certifikátů a aktuální pravidla. To, že aplikace vyžaduje přístup k internetu, neznamená, že ho vyžaduje neustále. Např. existují offline jízdní řády, mapy, navigace – ty všechny vyžadují přístup k internetu, aby si mohly stáhnout aktualizovaná data/mapy, což ale neznamená, že ty aplikace nebudou fungovat, když nemáte aktuálně přístup k internetu.

13
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: 22. 07. 2021, 08:53:45 »
A proč asi mluvím o rozdělení na bloky? No protože ta funkce sha2 to sama na ty bloky dělí.
Takže programátor, který SHA-256 používá, nic na bloky nedělí. Navíc to, na kolik bloků dělíte vstup, je z hlediska entropie zcela irelevantní.

Dál jsem to už nečetl... ::)
Jasně, dozvědět se, co děláte špatně, tomu se chcete vyhnout.

To vaše „zadání“ po jehož implementaci jste ochoten uznat chybu, asi také nebudete ochoten napsat tak, aby to bylo skutečné zadání a dalo se podle toho něco implementovat. Respektive alespoň vám prozradit, co je v tom vašem algoritmu skutečně náhodný vstup a co je jen placebo, které tam je jenom pro ukojení vaší představy, že když je to pro vás složité, musí to zlepšovat bezpečnost.

14
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: 21. 07. 2021, 23:08:17 »
Víš, na kolik bloků musíš rozložit takový 5mpx obrázek, abys nad ním mohl provést sha2 (256)?
Nemusíte je rozkládat na žádné bloky. Vezměte ten soubor a spusťte na něm sha256sum. To je základní vlastnost  hashovacích funkcí, že mohou mít libovolně velký vstup.

Já z hlavy ne, ale je to velký číslo!
To je přesně váš problém. Nic nevíte, ale máte pocit, že je to velké číslo.

I když budeš mít zdroj čisté 0, promícháním získáš naprosto náhodné číslo.
Nikoli. Promícháváním samých nul nezískáte nic jiného, než samé nuly. Jedinou nulu ani promíchat nemůžete. Takže vaše tvrzení je nepravdivé, ať jste tím „čisté 0“ myslel cokoli. A jak už jsem psal výše, pokud míchání není náhodné, entropii tím nezvýšíte.

Nemudruj a vyzkoušej si to!
Abyste to mohl vyzkoušet, potřebovla byste k tomu nějaké znalosti. To, jak je nějaký výstup náhodný, totiž nezjistíte jen tak pohledem. A nezzjistíte to ani na jednom vzorku.


Naplnil jsem 2 TB SSD výsledky, ale ani po měsíci nenašel shodu...divný co?
Není na tom vůbec nic divného. Prostě jenom netušíte vůbec nic o hashování.

Než zase začnete machrovat tím, že jste v pár bajtech nenašel shodu SHA-256 hashe, zjistěte si, kolik je celosvětově známo kolizí SHA-256, tj. kolik je hashů SHA-256, pro které existují alespoň dva různé známé vstupy, které na ně vedou. Pokud byste měl pocit, že vám dávám hrozně těžký úkol, a jak máte všechny ty kolize spočítat, nebojte se – je to podstatně jednodušší, než si myslíte.

15
Software / Re:Zapamatovatelné zaheslování souboru
« kdy: 21. 07. 2021, 16:47:42 »
Ano, můj projekt vypadal tak, že jsi vzal mobil, namířil na cokoliv a z té fotky se vygenerovalo náhodné číslo.
Vtip je v tom, že u foťáků s vyšším rozlišením (5mpx) a víc už vznikají takové šumy, že dohromady se skutečným obrazem vznikne zcela náhodná oblast.
To, že vy máte pocit, že je něco náhodné, vůbec nesouvisí s tím, zda je to skutečně náhodné.

Pro desetitisíce fotek oblohy nevznikl žádný stejný hash
Pro všechny fotky vyfocené na celé Zemi za celou dobu existence fotografie nevznikne stejný hash (pokud se bavíme o rozumných hashovacích funkcích, aspoň SHA-1). Což ovšem nevypovídá nic o entropii těch fotek.

A Jirsáka si nevšímej, když se nudí, je protivný.
Protivný jsem, když někdo mele nesmysly o věcech, o kterých vůbec nic neví.

I když neznámý vstup promícháš známým způsobem, nezjistíš, jaký vstup to byl.
Když je řeč o útoku hrubou silou na hesla, bavíme se o entropii vstupních dat. Entropie se nezvýší ani nenáhodným mícháním dat, ani hashováním.

Naopak, kdybys vstup prohnal nevhodnou matematickou funkcí, může dojít ke snížení kvality náhodných dat.
Přičemž reálně se těmi „nevhodnými matematickými funkcemi“ prohání obraz ještě před čipem fotoaparátu (filtry), pak je tou nevhodnou matematickou funkcí samotný čip, a následně surová data z čipu zpracovává procesor fotoaparátu, který vlastně nedělá nic jiného, než že aplikuje jednu za druhou takovéhle nevhodné matematické funkce. Protože účelem celého zpracování obrazu ve fotoaparátu je za a) odstranit/redukovat šum a za b) odstranit nepodstatné odchylky (a tím umožnit fotku lépe zkomprimovat). Fotoaparát tedy velmi důkladně pracuje na tom, aby zmenšil entropii fotky, o které vy si myslíte, že tam zůstává.

Fotka samozřejmě je určitý zdroj entropie, ale rozhodně ne tak, dobrý jak si myslíte.

Navíc celá tahle debata vůbec nesouvisí s původním tématem, protože pro zapamatovatelné heslo té entropie zase nepotřebujete tolik, a rozhodně ji není potřeba získávat nějak složitě, bohatě stačí generátor, který máte v OS.

Stran: [1] 2 3 ... 303