Как защита от атак может защитить злоумышленника от доступа к хэшам вашего пароля? - PullRequest
0 голосов
/ 03 марта 2012

Я прочитал довольно много вопросов о пароле, и в основном они охватывают то, что (я думаю) я уже понимаю.То есть;Смысл включения случайной соли в ваши хэши паролей состоит в том, чтобы сначала предотвратить совпадение двух хешей, даже если пароль один и тот же.И, во-вторых, чтобы предотвратить атаки радужных таблиц, которые сопоставляют хэши с предварительно скомпилированным списком (поскольку ни один из предварительно скомпилированных хэшей не использовал соли, которые вы использовали, поэтому для каждой соли / хэша необходимо будет создать новую радужную таблицу).Не стесняйтесь исправлять меня, если я что-то не так понял.

Теперь мой вопрос: если у злоумышленника есть доступ к вашим хэшам (сценарий, от которого мы защищаем), то это означает, что они обращаются к вашей базе данных.,В таком случае, разумеется, не имеет значения, что это за хеш, они могут просто заменить его на что угодно?

Ответы [ 2 ]

1 голос
/ 03 марта 2012

Все зависит от разрешения учетной записи.Если учетная запись только для чтения была взломана, они могут только читать, но если взломали более высокую учетную запись, то злоумышленник имеет более высокие разрешения, чем дальше по лестнице.

1 голос
/ 03 марта 2012

Доступ на чтение к базе данных не подразумевает доступ на запись в базу данных.

Так что да, если злоумышленник может обновить хэш пароля до известного хешированного пароля + соли, то злоумышленник может получить доступ к определенной учетной записи. Но дампы хэшей паролей могут поступать не из прямого доступа к базе данных, а из других мест.

...