הסבר על Salting בסיסמה
createHash משתמשים ב-createHmac (hash based message authentication code). מעבירים לו את האלגוריתם sha512 ואת ה-salt text, וממשיכים עם update ו-digest ב-hex.const saltText לשמירת הביטוי, createHmac עם sha512, ו-digest ב-hex.פרקי ההרצאה: הסבר על Salting בסיסמה
תמלול ההרצאה: הסבר על Salting בסיסמה
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על Salting בסיסמה» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
בסרטון הקודם ראינו איך אנחנו יכולים לבצע האשינג או בעברית גיבוב לסיסמה שהיא plaintext ולשמור בדאטאבייס את ההאש עצמו. וציינו גם שאין שום אלגוריתם שמאפשר לקחת את ההאשינג ולחזור בחזרה לסיסמה המקורית.
זאת אומרת שאם מישהו מסתכל על הסיסמה הזאת, על מה שהוא רואה כאן, הוא לא יכול לדעת שזה היה 1, 2, 3, 4 ואין לו שום יכולת לקחת איזשהו אלגוריתם ולחזור אחורה ולהגיע ל-1, 2, 3, 4 כסיסמה מקורית.
ואז אנחנו מוגנים, נכון? לא. כי בואו נראה משהו מעניין. בואו ניקח את הסיסמה הזאת. נעשה קונטרול C על הדבר הזה.
בואו רגע נדביק את זה, נראה שהוא נותן לי מחרוזת אחת ארוכה. המחוזת הזאת הגיעה מאיזשהו שעה 512 ימי אחר. אז אנחנו לוקחים את המחוזת, הולכים לגוגל, ובואו נחפש פה איזשהו אתר, Decrypt Hash Password.
בואו נחפש אתרים שאומרים לנו, תשמעו, אנחנו מסוגלים לפענח לכם את הסיסמה הזאת. הנה מישהו אומר לנו, Enter up to 20 non-salted דאבלה.
בואו נכניס את זה, נגיד לו שאנחנו לא רובוט, אוי ואבוי את זה אני אף פעם לא יודע מה רוצים ממני סלקט אולימג'ס וויד מונטיינס אור הילס נראה לי שזה זה יופי תודה קראק בואו נגיד לו תשמע תפנח לנו את הסיסמה ושימו לב מה הוא אומר לנו אחד שתיים שלוש ארבע איך זה יכול להיות הרי אין אלגוריתם שמחזיר את זה בחזרה
אז הטכניקה הזאת של האתר הזה נקראת Rainbow Tables. Rainbow Tables זה פשוט טבלה שלקחו המון סיסמאות, כמות עצומה של סיסמאות, זה יכול להיות מיליארדים של סיסמאות, של סיסמאות רנדומליות ושל מילון מונחים וסיסמאות נפוצות וכל מיני וריאציות של מספרים
ואותיות שמחשב יכול לייצר, ומכל הסיסמאות האלה לקחו והצפינו את כולם, או סליחה, לא הצפינו, עשו להם האשינג, ויצרו מכל הסיסמה את מכרוזת ההאש. כאשר אנחנו באים ומכניסים את מכרוזת ההאש הזאת, אז האתר בא, לוקח את ההאש, מחפש איזה סיסמה בכל הטבלה הזאת יצרה את ההאש הזה, ואומר, אה, הנה, זאת הסיסמה שכבר מראש הכנו,
כלומר, בדקנו אותה, והיא זאת שיצרה את ההאש, בבקשה, 1, 2, 3, 4. זה לא טוב? אנחנו צריכים לטפל בזה, פתרון אחד יהיה לבקש מהמשתמש להכניס סיסמה מאוד מאוד חזקה שיש בה אות גדולה ואות קטנה ותו מיוחד וספרה וכולי וכולי וזה באמת יכול מאוד מאוד להקל הרבה פעמים אתם רואים שהאתרים
מבקשים ממכם לבצע את הנוהל הזה וגם אם עושים את זה אולי בכל זאת הסיסמה שלנו תהיה שמה ואז מישהו יכול לבדוק את זה באתרי ריינבו טייבל ולגלות אותה אז זה בסדר לעשות את זה וטיפה להגיד למשתמש, תשמע, תן לי משהו יותר חזק מבטח שלא 1, 2, 3, 4, שזאת סיסמה די פשוטה.
אבל יש שיטה נוספת, והיא נקראת salt. מה זה salt? salt, מלח. הרעיון הוא לקחת איזושהי מכרוזת, ובתהליך ה-ashing כאילו למלח את הסיסמה. אם הסיסמה שלנו הייתה, בוא נניח, 1, 2, 3, 4, אז אנחנו זורעים מלח בין,