Plaintext hesla jsou bezpečnější než hashe?

[gazda]

U hashovaně uloženého hesla musíte heslo přenést přes linku...

Nie, nemusím. Asi sa domnievate, že keď sú heslá zahashované v databáze, musí sa použiť DIGEST authentication (?). - Nie, to sa nemusí. Možno použiť FORM alebo BASIC a potom je aj výber hashovacej funkcie na autorovi systému a teda sa nemusí použiť DIGEST-om predpísaná md5. Ak sa použije FORM alebo BASIC, treba samozrejme dať pozor aby komunikácia išla cez HTTPS.

[Reklama]

[gazda]

Synonyma? ...

Áno, máte pravdu, nedajú sa považovať za synonymá. Rozdiel mi je a bol jasný, poplietol som mená.

[DgBd]

U hashovaně uloženého hesla musíte heslo přenést přes linku...

Nie, nemusím. Asi sa domnievate, že keď sú heslá zahashované v databáze, musí sa použiť DIGEST authentication (?). - Nie, to sa nemusí. Možno použiť FORM alebo BASIC a potom je aj výber hashovacej funkcie na autorovi systému a teda sa nemusí použiť DIGEST-om predpísaná md5. Ak sa použije FORM alebo BASIC, treba samozrejme dať pozor aby komunikácia išla cez HTTPS.

Vy se v tom neskutečně motáte. U hashovaného hesla nemůžete použít digest authentication, protože v digest autentizaci používá cleartext heslo, které nemáte.
Pokud přenášíte přes HTTPS, tak to už se bavíme o další vrstě zabezpečení a ne o bezpečnosti samotného hashovaného hesla.

[gazda]

... nie je treba prenasat hesla. Viz napr. problem socialistickeho milionara.

Áno, socialistický milionar sa pri pri plain texte dá použiť. Pre mňa novinka, ďakujem za ňu.
Je socialistický milionar bežne podporovaný na klientoch? Alebo sa to (v prípade browserov) robí len JavaScriptom?

[DgBd]

Takže riziko 3 se nám smrsklo na "kdokoli dokáže nabourat zabezpečený kanál", zatímco riziko 4 zůstává "kdokoli si může přečíst databázi".

Podle mě je 4 pravděpodobnější a tedy hash bezpečnější.

Pokud drát zabezpečíte, tak už nehodnotíte bezpečnost hashovaného hesla versus cleartext hesla, ale bezpečnost hashovaného hesla po zabezpečeném kanále versus cleartext hesla, což je už něco jiného.

[Reklama]

[aaa]

Prosim Vas, co je ten komunisticky milionar ? nemuzu to na google prefiltrovat

[Night]

Prosim Vas, co je ten komunisticky milionar ? nemuzu to na google prefiltrovat

http://en.wikipedia.org/wiki/Socialist_millionaire

[Mirek Prýmek]

Pokud drát zabezpečíte, tak už nehodnotíte bezpečnost hashovaného hesla versus cleartext hesla, ale bezpečnost hashovaného hesla po zabezpečeném kanále versus cleartext hesla, což je už něco jiného.

Samozřejmě, že nehodnotím "bezpečnost hashovaného hesla". Co by to jako mělo být?

Hodnotím bezpečnost systému X, kde se hesla ukládají hashovaně a úplně stejného systému s jediným rozdílem: hesla jsou ukládána v plaintextu.

Pokud budou oba používat zabezpečenou komunikaci s uživatelem, je hash bezpečnější, protože není napadnutelný kamarádem, který přišel na kafe.

[gazda]

U hashovaně uloženého hesla musíte heslo přenést přes linku...

Nie, nemusím. Asi sa domnievate, že keď sú heslá zahashované v databáze, musí sa použiť DIGEST authentication (?). - Nie, to sa nemusí. Možno použiť FORM alebo BASIC a potom je aj výber hashovacej funkcie na autorovi systému a teda sa nemusí použiť DIGEST-om predpísaná md5. Ak sa použije FORM alebo BASIC, treba samozrejme dať pozor aby komunikácia išla cez HTTPS.

Vy se v tom neskutečně motáte.

Vaše "U hashovaně uloženého hesla musíte heslo přenést přes linku..."
som pochopil ako
"U hashovaně uloženého hesla musíte (hashované) heslo přenést přes linku (zo servera ku klientovi)..."

U hashovaného hesla nemůžete použít digest authentication, protože v digest autentizaci používá cleartext heslo, které nemáte.

Ak používam DIGEST Auth (a žiadnu inú), na serveri nemusím ukladať plaintext heslo, stačí ukladať výsledok md5(username:realm:password)

Pokud přenášíte přes HTTPS, tak to už se bavíme o další vrstě zabezpečení a ne o bezpečnosti samotného hashovaného hesla.

Súhlas.

[DgBd]

Pokud drát zabezpečíte, tak už nehodnotíte bezpečnost hashovaného hesla versus cleartext hesla, ale bezpečnost hashovaného hesla po zabezpečeném kanále versus cleartext hesla, což je už něco jiného.

Samozřejmě, že nehodnotím "bezpečnost hashovaného hesla". Co by to jako mělo být?

Hodnotím bezpečnost systému X, kde se hesla ukládají hashovaně a úplně stejného systému s jediným rozdílem: hesla jsou ukládána v plaintextu.

Pokud budou oba používat zabezpečenou komunikaci s uživatelem, je hash bezpečnější, protože není napadnutelný kamarádem, který přišel na kafe.

Pořád tvrdím, že hodnotíte něco jiného než bylo na začátku v zadání. Tam se o další vrstvě zabezpečení nehovořilo.

[DgBd]

U hashovaně uloženého hesla musíte heslo přenést přes linku...

Nie, nemusím. Asi sa domnievate, že keď sú heslá zahashované v databáze, musí sa použiť DIGEST authentication (?). - Nie, to sa nemusí. Možno použiť FORM alebo BASIC a potom je aj výber hashovacej funkcie na autorovi systému a teda sa nemusí použiť DIGEST-om predpísaná md5. Ak sa použije FORM alebo BASIC, treba samozrejme dať pozor aby komunikácia išla cez HTTPS.

Vy se v tom neskutečně motáte.

Vaše "U hashovaně uloženého hesla musíte heslo přenést přes linku..."
som pochopil ako
"U hashovaně uloženého hesla musíte (hashované) heslo přenést přes linku (zo servera ku klientovi)..."

U hashovaného hesla nemůžete použít digest authentication, protože v digest autentizaci používá cleartext heslo, které nemáte.

Ak používam DIGEST Auth (a žiadnu inú), na serveri nemusím ukladať plaintext heslo, stačí ukladať výsledok md5(username:realm:password)

Ano, technicky máte pravdu, problém je v tom, že uložené md5(username:realm:password) je ekvivalent cleartext hesla :-) Tj. v této fázi už nemáte uložené hashované heslo, ale cleartext heslo.

[Mirek Prýmek]

Pořád tvrdím, že hodnotíte něco jiného než bylo na začátku v zadání. Tam se o další vrstvě zabezpečení nehovořilo.

V tom případě je zadání nesmyslné, protože hodnotit bezpečnost technologie nezávisle na kontextu, ve kterém je použita, popřípadě v kontextu, který neodpovídá realitě (nezabezpečené spojení), je totální békovina.

To bych taky mohl říct, že je bezpečné napsat si heslo na lísteček na monitor a při upozornění, že si ho někdo může přečíst, protestovat, že v zadání nebylo, že existují taky jiní lidi než já.

[Mirek Prýmek]

Krom toho, tebou zmíněný challenge-response mechanismus není nic jiného, než vytvoření zabezpečeného kanálu...

[DgBd]

Pořád tvrdím, že hodnotíte něco jiného než bylo na začátku v zadání. Tam se o další vrstvě zabezpečení nehovořilo.

V tom případě je zadání nesmyslné, protože hodnotit bezpečnost technologie nezávisle na kontextu, ve kterém je použita, popřípadě v kontextu, který neodpovídá realitě (nezabezpečené spojení), je totální békovina.

To bych taky mohl říct, že je bezpečné napsat si heslo na lísteček na monitor a při upozornění, že si ho někdo může přečíst, protestovat, že v zadání nebylo, že existují taky jiní lidi než já.

Špatné přirovnání. S lístečkem by to bylo tak, že si ho napíšu na lísteček na monitor, přičemž přístup do kanceláře, kde ten lísteček je, mám jenom já. Jak moc je to heslo bezpečné?

Prostě mícháte víc vrstev zabezpečení do sebe.

[DgBd]

Krom toho, tebou zmíněný challenge-response mechanismus není nic jiného, než vytvoření zabezpečeného kanálu...

To v žádném případě. To je ověření toho, že A disponuje stejným tajemstvím jako B, tj. autentizace. Žádný zabezpečený kanál tam rozhodně není.