YouTube nezná vaše hesloTom Scott

Super chci víc podobných.

Asi to tolik lidí neví, ale to, co říkal, už vím hodně, opravdu hodně dávno.. Já jsem zkoušel databáze už dávno a tudíž vím, že je to tzv. zahashované, většinou se hesla získávají tzv. phishingem nebo ještě lépe - prostě to stačí zkusit náhodně.. Plno lidí má jednoduchá hesla. Tohle video je trošku pro mne.. Takové - není to ono, ale i tak dobré video.

Info z tohoto videa sice znám, ale má i jiné zajímavé videa, třeba tohle :)

https://www.youtube.com/watch?v=wCQSIub_g7M

Koho reálně zajímá zda je heslo uloženo v databázi poskytovatele služby zahashované či nikoliv? Proč stejně většina lidí používá pro přístup ke všem svým službám stejné heslo? Myslím že přínosnější než bulikovat lidem že jejich heslo facebook nezná je jim spíš vysvětlit že by měli používat pro každou jinou službu i jiné heslo. Je to téměř absurdní představa že? Je to ale jediný způsob jak si chránit jiné své účty a přitom se nespoléhat na všechny provozovatele služeb. A vlastně ten chlap si sám protiřečí. Na začátku řekne NE, tyhle služby neznají Vaše heslo a na konci videa lidi varuje před službami které jim zašlou zapomenuté heslo. Přitom samotné hashování se většinou provádí na straně serveru od chvíle co sem heslo dorazí v čisté podobě.Tak jaký že NEZNAJ!? Tím nechci říct, že webové služby vždy znají vašeho heslo. Ani tím nechci říct, že hashování hesel se nepoužívá. Záleží vždy na důvěryhodnosti dané služby. Tu mi však nebude podsouvat nějakej mediální pablb co v úvodu videa udělá reklamu službám, které se tak důsledně starají o mé zabezpečení účtu.

A proto nejjednodušší a nejefektivnější cesta jak získat heslo je lidská blbost. Falešné emaily, osobní detaily o cílové osobě atd. Kde jsou časy kdy kdosi přišel na to že lízátko, co bylo zároveň píšťalka má stejnou frekvenci jako telefonní budka a díky tomu šlo volat zadarmo kamkoliv :)

K videu: Zajímavé a určitě velmi poučné. K překladu: Nechci aby to vypadalo jako, že jsem nevděčný parchant, ale myslím si, že přeci jen jsou slova (především názvy), které by se asi doslovně překládat neměli. Kupříkladu slovo Hash, které je ve videu přeloženo jako "haš" mi bije do očí. Facebook taky nepřekládáte v titulcích jako "Fejsbůk" a navíc, jestli na video kouká člověk s nulovou znalostí Angličtiny, pak je pro něj slovo Haš spíše matoucí, kdyby si chtěl pojem později "vygůglit", tak pod pojmem haš najde stránky chorvatské autoškoly, nikoli zmíněný topic.

Někteří se ptali ohledně prolomení těchto hashů. Ano Existuje hned několik "způsobů" jak "prolomit" ochranu. První a nejméně efektivní je Bruteforce - jedná se o násilné vnikání kdy se jedná čistě kombinatoriku znaků. Tahle metoda má pár optimalizací aby nebyla tak neefektivní - Slovníky. tyto slovníky obsahují předem nadefinované výrazy ( jako třeba "1234" "ahoj" "heslo123" atp) proto je lepší mít heslo originální, se kterým jste můžete být jistí, že nebude v těchto slovnících.

Další neefektivní metoda je slovníková databáze. funguje na podobném principu (taky se víc přibližuje k tomuto tématu). Jedná se o obrovskou indexovanou databázi ve které jsou uložené dvojice: "řetezec(heslo)" >> "hash". Pokud stránka používá sůl je tahle metoda naprosto nulově efektivní.

V prvé řadě musí útočník znát proces hashování. Typů těchto hashů je spousta a ano mají i svůj reverzní algoritmus. akorát je tak náročný ho najít že to nějakou dobu trvá. poslední hashovací funkce co byla prolomena a ještě před pár lety se používala je MD5. jakmile někdo objevil reverzní algoritmus všichni slušní programátoři co používali čistě hash bez soli museli změnit onu hashovací funkci.

Nicméně! tyto funkce se dají kombinovat, opakovat, solit, a tak pořád dokola. Pokud v takovém případě někdo odcizí hashe nemáte se téměř čeho bát, dokud útočník nezjistí i proces hashování. Poté přichází na řadu bruteforce a slovníky :)

Je možné že jsem něco ve spěchu opomněl, předem se za nedostatky omlouvám :)

2:00 určitě ne náhodně
a netrvalo by to staletí, ale buď pár hodin stahováním rainbow tabulek (kde je seznam "heslo" -> "hash"), nebo pokud znám hash funkci, tak stylem pokus/omyl taky ne moc dlouho...(ale v 99% případů najdu změť nezobrazitelných znaků, a taky třeba háčky a čárky , které nemůžu zadat do anglického webu)
...a přijde mi že na začátku mluví o počátcích asymetrického šifrování a pak do toho natvrdo hodí hashovací funkce s tím že je to to samé....

No, a pak se stane, že i tak velké firmě jako Adobe ukradnou hesla 150 milionů uživatelů. I když tam v plaintextu měli "jen" nápovědy pro heslo a samotná hesla byla zašifrovaná, ale špatně. Viz http://xkcd.com/1286/ :D

Takže chápu to dobře, že kdyby někdo přišel na to, jak obrátit ten proces násobení prvočísel (což je mi jasný, že nebude hned), tak by tenhle systém dokázal prolomit?

I watched the full video because he's hot

Nemůže potom čistě teoreticky dojít k tomu, že dva rozdílné řetezce vygenerují stejný řetězec? Asi záleží na složitosti hashovací operace..kdyby to bylo jen násobení, tak ta šance je celkem reálná

Nestačí ale pak jen znát algoritmus který ta stránka používá k převádění hesla na znaky?

#hash




(I see what you did there)

Doufám, že si toho chlápka nenajal google, facebook a youtube aby naoko uklidnil lidi. :D :D (Joke).