MD5 kryptering i php

[willbend]

Mulig dette er et dumt spørsmål, men er det noen i hele verden som kan dekryptere md5? Kansje den personen som har laget MD5 ?

[Frank2004]

http://www.faqs.org/faqs/cryptography-faq/part07/

http://www.rsasecurity.com/rsalabs/node.asp?id=2176

Endret 13. mars 2005 av Frank2004

[kimla]

MD5 algoritmen (er vel det det er..) er nylig blitt knekt, så ja, noen kan dekryptere den.

Sikkerhetsselskaper o.l. venter nå spent på et motangrep fra Microsoft.

 

Så da vet dere det

[dabear]

Md5 er hashing ikke kryptering (kanskje ikke nå lenger som det er mulig å reversere hashinga). Btw: Vil noen greie å dehashe sha1(md5('tekst')); ?

[Lokaltog]

MD5 algoritmen (er vel det det er..) er nylig blitt knekt, så ja, noen kan dekryptere den.

Sikkerhetsselskaper o.l. venter nå spent på et motangrep fra Microsoft.

 

Så da vet dere det

- MD5-algoritmen er knekt? Du mener med det at en kan bruke en MD5-sum på 32 tegn til å dekryptere f.eks. et passord på 50 tegn?

 

- Motangrep fra Microsoft? Har de noe med MD5 å gjøre i det hele tatt?

[willbend]

Hva er egentlig forskjellen mellom chipertext og hash ?

[gol]

Forskjellen er vel kort sagt at når man hasher en tekststreng er det meningen at en ikke kan få tilbake opprinnelig streng.

 

Ved kryptering lages en cipher, og en kan dekryptere denne ved hjelp av krypteringsnøkkelen for å få tilbake opprinnelig tekst.

 

Arrester meg dersom jeg tar feil her...

[LateFot]

både SHA1 og MD5 er knekt...

 

MD5 ble knekt for en god stund siden...

 

On 17 August 2004, collisions for the full MD5 were announced by Xiaoyun Wang, Dengguo Feng, Xuejia Lai and Hongbo Yu [1] [2]. Their attack was reported to take only one hour on an IBM P690 cluster.

 

SHA1 derimot ble knekt nå nylig (av samme gjengen)...

 

February 15, 2005
SHA-1 Broken

SHA-1 has been broken. Not a reduced-round version. Not a simplified version. The real thing.

The research team of Xiaoyun Wang, Yiqun Lisa Yin, and Hongbo Yu (mostly from Shandong University in China) have been quietly circulating a paper describing their results:

 

for mer info:

 

SHA1

http://www.schneier.com/blog/archives/2005...ha1_broken.html

 

MD5

http://en.wikipedia.org/wiki/MD5

 

 

edit: SHA1 linken virket ikke. virker nå

Endret 16. mars 2005 av LateFot

[Frank2004]

Angrepet på md5 gjør det lettere å generere to ulike filer som har samme hash, men det er fortsatt veldig begrenset frihet til å bestemme innholdet i begge filer selv. Så vidt jeg har fått med meg er angrepet på sha1 av samme type, og reduserer arbeidet fra 2^160 til 2^138 eller noe..

 

Skal ikke ha blitt noe lettere å finne ut at 098f6bcd4621d373cade4e832627b4f6 er md5("test").

 

Men det er jo klart at svakhetene som er blitt kjent kanskje åpner for nye angrep, så folk som designer sikre protokoller o.l. bør kanskje vurdere å legge inn et par ekstra message-digest-algoritmer fra helt andre familier i tillegg til sha1/md5..

[The Red Devil]

Som sagt over, md5 og sha1 har ikkje blitt "knekt". Dei har bare klart å lage ein lik hash (brute force) og vist du ser på maskin kraften dei brukte for å klare og knekke md5 på ein time, så ser du at dette er ein "pc" som alle og einkvar sitter på.

 

Når det er sagt, vist du bruker md5/sha1 så må du bruke eit salt i tillegg til brukerens passord. Siden eit 4-8 tegns passord knekkes på eit minutt eller to med eit lite php script (og php er ikkje det rette språket til å lage dette i, så det går ennå fortere på andre språk).

[Frank2004]

Når det er sagt, vist du bruker md5/sha1 så må du bruke eit salt i tillegg til brukerens passord.

Absolutt.

 

Si at noen får tak i logindetaljer for 1000 brukere. Om passordene er saltet må angriperen prøve seg på en og en konto. Om det ikke er brukt salts, derimot, kan hun sjekke alle tusen kontoene samtidig, altså 1000 ganger så raskt.

[genstian]

Når det er sagt, vist du bruker md5/sha1 så må du bruke eit salt i tillegg til brukerens passord.

Absolutt.

 

Si at noen får tak i logindetaljer for 1000 brukere. Om passordene er saltet må angriperen prøve seg på en og en konto. Om det ikke er brukt salts, derimot, kan hun sjekke alle tusen kontoene samtidig, altså 1000 ganger så raskt.

ja, det er slik ja.

men er det mulig og bruke flere krypteringer på samme lagring eks sha1(md5('text'));

men da er det litt vanskeligere og printe det.

har selv laget en krypereing som du velger en former og så blander den texten med en annen eks:

$hash = "";

myhash('text', 'hem','622', $hash);

echo $hash;

printer teetxm

og

$hash = "444";

myhash('text', 'hem','28', $hash);

printer 4tehe4x4tm.

og siden ikke så mange bruker det er det sikert.