Md5

Til at hashe fx strings... Hvis nogen opfanger et md5-hash skal der bruges et bruteforce attack for at finde det oprindelige! Hvis en fx bryder ind i din brugerdatabase, kan han, hvis du ikke benytter fx md5 eller en anden form for hashing (md5 er at foretrække), se alle dine brugeres passwords. Du kan også lave et md5 hash af en fil, og hvis nogen downloader den kan de også lave et hash og sammenligne med det originale - og derved være sikker på, at filen er 100% identisk!

mikl-dk | mikl@mikl.dk

Den 09-01-04 13:23 skrev mikl-dk følgende:
-----------------------------------------------------------------------------
Til at hashe fx strings... Hvis nogen opfanger et md5-hash skal der bruges et bruteforce attack for at finde det oprindelige! Hvis en fx bryder ind i din brugerdatabase, kan han, hvis du ikke benytter fx md5 eller en anden form for hashing (md5 er at foretrække), se alle dine brugeres passwords. Du kan også lave et md5 hash af en fil, og hvis nogen downloader den kan de også lave et hash og sammenligne med det originale - og derved være sikker på, at filen er 100% identisk!

mikl-dk | mikl@mikl.dk
-----------------------------------------------------------------------------
Men, hvis man nu bryder ind i ens anden databese, så kan det gøre helt lige meget at den er md5 kypteret, så kan man jo bare tage den md5 krypterede kode gemme den i f.eks. notepad, og så md5 kryptere koden igen, så den er md5 krypteret 2 gange, og sætte dette ind i databasen, så åbner man tekst filen og kopire indholdet ud i password formen på hjemmeisden og intaster brugernavnet og så er man inde.
Jeg ved godt at det er noget nemmere at gøre hvis det ikke er md5 krypteret men det er bare stadig ikke mere sikkert på den måde.

Mvh.
Kasper Nielsen

Den 09-01-04 13:23 skrev mikl-dk følgende:
-----------------------------------------------------------------------------
Til at hashe fx strings... Hvis nogen opfanger et md5-hash skal der bruges et bruteforce attack for at finde det oprindelige! Hvis en fx bryder ind i din brugerdatabase, kan han, hvis du ikke benytter fx md5 eller en anden form for hashing (md5 er at foretrække), se alle dine brugeres passwords. Du kan også lave et md5 hash af en fil, og hvis nogen downloader den kan de også lave et hash og sammenligne med det originale - og derved være sikker på, at filen er 100% identisk!

mikl-dk | mikl@mikl.dk
-----------------------------------------------------------------------------
Men, hvis man nu bryder ind i ens anden databese, så kan det gøre helt lige meget at den er md5 kypteret, så kan man jo bare tage den md5 krypterede kode gemme den i f.eks. notepad, og så md5 kryptere koden igen, så den er md5 krypteret 2 gange, og sætte dette ind i databasen, så åbner man tekst filen og kopire indholdet ud i password formen på hjemmeisden og intaster brugernavnet og så er man inde.
Jeg ved godt at det er noget nemmere at gøre hvis det ikke er md5 krypteret men det er bare stadig ikke mere sikkert på den måde.

Mvh.
Kasper Nielsen

Så vidt jeg ved kan man ikke få en md5 krypteret fil tilbage til normalt tekst... Man kan kun sammenligne

-----
Et liv uden PHP er et liv uden liv
--
GOD JUL!

Men, hvis man nu bryder ind i ens anden databese, så kan det gøre helt lige meget at den er md5 kypteret, så kan man jo bare tage den md5 krypterede kode gemme den i f.eks. notepad, og så md5 kryptere koden igen, så den er md5 krypteret 2 gange, og sætte dette ind i databasen, så åbner man tekst filen og kopire indholdet ud i password formen på hjemmeisden og intaster brugernavnet og så er man inde.
Jeg ved godt at det er noget nemmere at gøre hvis det ikke er md5 krypteret men det er bare stadig ikke mere sikkert på den måde.

Mvh.
Kasper Nielsen

Nej. For hvis du laver f.eks. et betalings site skal adgangskoden sendes via HTTPS (krypteret http) til serveren hvor den så MD5 hashes og sammenlignes. Dvs. at hvis du hacker serveren og tager MD5 hashene så kan du ikke bruge dem til noget alligevel for det er et password du skal sende til serveren.

Det Kasper mener er, at hvis du bryder ind i en DB kan du jo ændre alle password'sne til det du vil have dem til....Men fordelen er at hvis du benytter det samme brugernavn og pass flere forskellige steder, fx. på udvikleren og eksperten så vil personen ikke have mulighed for at bruge dit pass....måske lidt mærkeligt forklaret, men håber i kan forstå det


Jan Larsen
CO-owner http://www.jabo-web.com

Den 09-01-04 20:35 skrev Jan L følgende:
-----------------------------------------------------------------------------
Det Kasper mener er, at hvis du bryder ind i en DB kan du jo ændre alle password'sne til det du vil have dem til....Men fordelen er at hvis du benytter det samme brugernavn og pass flere forskellige steder, fx. på udvikleren og eksperten så vil personen ikke have mulighed for at bruge dit pass....måske lidt mærkeligt forklaret, men håber i kan forstå det


Jan Larsen
CO-owner http://www.jabo-web.com
-----------------------------------------------------------------------------
Nå ja, det er selvfølgelig rigtigt, men det hjælper ikke noget på den enkle hjemmeside

Mvh.
Kasper Nielsen