הצפנה כלשהי

[~The_Sultan~]

נחמד לשמוע.. תודה!

[RS324]

אני לא מבין מה כל הסיפור הזה סביב הצפנות

PHP קוד:

md5($SitePrivateKey . md5($userPassWord . md5($user_register_time)) . md5($SitePrivateKey); 


אם תעשו משהו כזה יהיה קשה מאד לפצח אותו

לכל אתר יש KEY שונה שמוגדר בקבצים של האתר
לכל יוזר יש תאריך הרשמה שונה (ברמת השניות מה ש TIME)( נותן
וכמובן לכל אחד יש סיסמא שונה

כלומר , גם אם יש 5 יוזרים שהסיסמא שלהם היא 1234 ההצפנה עבור הסיסמא שלהם תהיה שונה כי התאריך הרשמה שלהם שונה..

אז בצורה הזאת גם אם יעשו BROUTE FORCE זה ייקח כמה שנים ואני בספק אם יצליחו.

[Kernel]

אגב,

מומלץ להצפין את הקובץ עצמו עם Zend/ioncube/sourcegurdian.

[AlmogBaku]

נכתב במקור על ידי Kernel

אגב,

מומלץ להצפין את הקובץ עצמו עם Zend/ioncube/sourcegurdian.

טוב מה זה הבולשיט הזה?!
קודם כל זה לא הצפנה משוכללת שבנית! זה בסה"כ MD5 עם תוספת שלך או האש מסוג אחר..
קוראים לזה SLAT: הרעיון הוא להוסיף ערך משלך כך שיהיה מאוד קשה לאמוד את הקוד המקורי עם כוח ברוטאלי, וגם אם תגיע לתוצאה אמיתית סביר להניח שתסתבך.

אין צורך בשימוש ביותר מתוספת אחד והאש על הכל.. אם תוסיפו אולי עוד האש מסוג שונה זה יכול להיות חביב, יותר מזה זה מיותר

[~The_Sultan~]

נכתב במקור על ידי Baku

טוב מה זה הבולשיט הזה?!
קודם כל זה לא הצפנה משוכללת שבנית! זה בסה"כ MD5 עם תוספת שלך או האש מסוג אחר..
קוראים לזה SLAT: הרעיון הוא להוסיף ערך משלך כך שיהיה מאוד קשה לאמוד את הקוד המקורי עם כוח ברוטאלי, וגם אם תגיע לתוצאה אמיתית סביר להניח שתסתבך.

אין צורך בשימוש ביותר מתוספת אחד והאש על הכל.. אם תוסיפו אולי עוד האש מסוג שונה זה יכול להיות חביב, יותר מזה זה מיותר

אם סתם תוסיף ערך משלך לסיסמאות של המשתמשים שלך, גם אם הוא יהיה קשה, עדיין תהיה סבירות גבוהה שמשתמשים בעלי אמצעים יפענחו אותו. בגלל זה יש כל מיני שיטות ועקיפות שצריך להשתמש גם בהן, כמו למשל שימוש ב-MD5+SHA1+UNIQID+מפתח שלך (שכדאי שיכלול תווים כמו ☺╚♀♫ ואותיות בעברית, פשוט כי בדר"כ לא מכלילים תווים כאלו בקבצי ענק).

[AlmogBaku]

נכתב במקור על ידי ~The_Sultan~

אם סתם תוסיף ערך משלך לסיסמאות של המשתמשים שלך, גם אם הוא יהיה קשה, עדיין תהיה סבירות גבוהה שמשתמשים בעלי אמצעים יפענחו אותו. בגלל זה יש כל מיני שיטות ועקיפות שצריך להשתמש גם בהן, כמו למשל שימוש ב-MD5+SHA1+UNIQID+מפתח שלך (שכדאי שיכלול תווים כמו ☺╚♀♫ ואותיות בעברית, פשוט כי בדר"כ לא מכלילים תווים כאלו בקבצי ענק).

אז זהו.. שאתה טועה.
הפריצה בדרך כלל מתבצעת אחרי שכבר פרצו לך לשרת ורוצים לגלות בעזרת כוח בורטלאי מה פשר הסיסמה המוגנת. הפתרון בדרך כלל יהיה כוח ברוטאלי ובמקרים נדירות מאוד מאוד שחזור של ההצפנה(לא נתקלתי בזה עוד ל MD5).

הוספת סלט מסובך זה מגניב, אבל אין צורך לסבך עם איידי וכל מיני שטויות..
ולגבי UniqID. מה יקרה כשאנסה להתחבר כעבור דקה? איך הפעולה שלך תשחזק ותוסיף את אותו uniqID? האא.. תשמור בבסיס בנתונים? בזבוז ענק של משאבים לחינם.


*לסיכום: אין צורך להסתבך יותר מידי בסיסמא, וגם MD5 יספיק. אם תבנו פייסבוק או מערכת לבנקים.. אולי שווה להשקיע גם קצת מאות אלפי דולרים בפיתוח הצפנה אמיתית(כזו עם אלגוריתם מתמטי ולא ערבוביה של מתודות) או ברכישה.

[Kernel]

נכתב במקור על ידי Baku

אז זהו.. שאתה טועה.
הפריצה בדרך כלל מתבצעת אחרי שכבר פרצו לך לשרת ורוצים לגלות בעזרת כוח בורטלאי מה פשר הסיסמה המוגנת. הפתרון בדרך כלל יהיה כוח ברוטאלי ובמקרים נדירות מאוד מאוד שחזור של ההצפנה(לא נתקלתי בזה עוד ל MD5).

הוספת סלט מסובך זה מגניב, אבל אין צורך לסבך עם איידי וכל מיני שטויות..
ולגבי UniqID. מה יקרה כשאנסה להתחבר כעבור דקה? איך הפעולה שלך תשחזק ותוסיף את אותו uniqID? האא.. תשמור בבסיס בנתונים? בזבוז ענק של משאבים לחינם.


*לסיכום: אין צורך להסתבך יותר מידי בסיסמא, וגם MD5 יספיק. אם תבנו פייסבוק או מערכת לבנקים.. אולי שווה להשקיע גם קצת מאות אלפי דולרים בפיתוח הצפנה אמיתית(כזו עם אלגוריתם מתמטי ולא ערבוביה של מתודות) או ברכישה.

מי שמשתמש בקודים כאלו, לפעמים עוסק ב-SMS RB, נתונים איישים של לקוחות, פורמים בעלי מוניטין(פרצו ל-50 משתמשים ופירסמו בשמם דברי נאצה, אני לא מתמצא בעריכת דין אבל דבר כזה בעייתי) ועוד.