P4ssw0rd Quality Excites!
•Download as PPTX, PDF•
0 likes•524 views
Adrian Michalczyk daje receptę na zwiększenie bezpieczeństwa haseł bez utraty użyteczności webaplikacji. Prezentacja z II edycji konferencji Quality Excites.
Recommended
More Related Content
More from Future Processing
More from Future Processing (20)
P4ssw0rd Quality Excites!
- 3. • Nie Twój interes!
- 4. • Nie Twój interes! • A bo ja wiem?
- 5. • Nie Twój interes! • A bo ja wiem? • No ba!
- 8. METODY UWIERZYTELNIANIA Kontrola dostępu do zasobu 1. Identyfikacja 2. Uwierzytelnianie 3. Autoryzacja Nie masz uprawnień do tego pliku
- 9. METODY UWIERZYTELNIANIA Informacja uwierzytelniająca • Coś, o czym podmiot wie • Coś, co podmiot ma • Coś, czym podmiot jest
- 10. METODY UWIERZYTELNIANIA Hasło statyczne („co wiem”) • Najpopularniejsza metoda uwierzytelniania • Krótki ciąg znaków, często wymyślany przez użytkownika • Charakterystyczny ciąg, łatwy do przejęcia • Może zostad zmienione, blokując dostęp do usługi
- 11. METODY UWIERZYTELNIANIA Inne metody uwierzytelniania • Hasła jednorazowe („co wiem” „co mam”) • Karty magnetyczne i inteligentne („co mam”) • Metody biometryczne („czym jestem”)
- 12. METODY UWIERZYTELNIANIA Przechowywanie haseł • Plaintext • Szyfrowanie
- 13. METODY UWIERZYTELNIANIA Hashowanie Przechowywanie wartości bezpiecznej funkcji hashującej
- 14. METODY UWIERZYTELNIANIA Bezpieczna funkcja hashująca • Jednokierunkowośd na podstawie wyjścia nie możemy określid wejścia 0 fb1093febd19a969 4e5c89e911546bd9 seticxE ytilauQ classicHash("Quality Excites"); md5("Quality Excites"); badHash("Quality Excites");
- 15. METODY UWIERZYTELNIANIA Bezpieczna funkcja hashująca • Wysoka odpornośd na kolizje bardzo trudna generacja tego samego wyjścia przy użyciu dwóch różnych wejśd classicHash("Vizzdoom"); //2 classicHash("Ale ma kota"); //2
- 16. METODY UWIERZYTELNIANIA Bezpieczna funkcja hashująca • Duża zmiennośd wyjścia duża różnica wyjśd przy bardzo podobnych wejściach md5("Quality Excites"); fb1093febd19a9694e5c89e911546bd9 md5("quality excites"); 9f2f94e3608854bd3c54963144ee92be
- 21. ATAKOWANIE HASEŁ Atak offline • Atak na skrót kryptograficzny • Bruteforce / Dictionary / Hybrid … • Bardzo szybki o CPU o GPU o Przetwarzanie rozproszone
- 27. ATAKOWANIE HASEŁ Zasada pierwsza • Kontroluj szybkośd Wielokrotne hashowanie for (i=0 ; i < 1000 ; i++) $pass = hashFunc($pass);
- 28. ATAKOWANIE HASEŁ Zasada druga • Posól hasła Dodaj losowy ciąg do hasła Jeden użytkownik – jedna sól a`zYHdYHdZ~qwertyU7YHdfv+Hd^&%YHd34d9xl__a`zZ~
- 29. ATAKOWANIE HASEŁ BCrypt # Python py-bcrypt library import bcrypt # Generuj hash z własnoręcznie ustawioną solą bcrypt.hashpw("vizzdoom","$2a$12$1234567890123456789012") $2a$12$123456789012345678901ueEDm4W8S0bcR7tYCaovy5X64j.wKmA2 # Generuj hash z automatycznie losowaną solą bcrypt.hashpw("vizzdoom",bcrypt.gensalt(12)) $2a$12$ECkVAZC8c3FcL9xWNiQ4l.cl72O5et0PCxhKfR6gGX7Hb7ROTbVBy
- 30. ATAKOWANIE HASEŁ Funkcje o zmiennym koszcie obliczeniowym • BCrypt • PBKDF2 • Scrypt • Phpass • …
- 32. PORADY Dla programisty • Hashuj hasła Używaj soli dynamicznych Hashuj wielokrotnie BCrypt, PBKDF2, PHPASS • Ograniczaj użytkownika z dołu, nie z góry! • I <3 you kontra I%20<3+you
- 33. PORADY Dla QA • Weryfikuj metody przechowywania haseł Czy hasła są hashowane? Czy hasła mogą mied dowolną długośd i dowolne znaki? • Testuj bezpieczeostwo haseł Unit Testy Testy wydajnościowe formatek z hasłami (Denial of Service)
- 34. PORADY Dla użytkownika • Używaj długich, nieprzewidywalnych haseł • Używaj osobnych haseł w każdej usłudze • Włącz podwójne uwierzytelnianie tam, gdzie to możliwe • Używaj menadżerów haseł (Keepass!)
- 35. Dziękuję za uwagę https://www.future-processing.com/fp-security-consulting amichalczyk@future-processing.com vizzdoom@gmail.com Źródła: „Kompendium bezpieczeostwa haseł – Atak i obrona” http://vizzdoom.net/2013/02/kompendium-bezpieczenstwa-hasel-atak-i-obrona/