Newsgroup: it.comp.os.linux.sys
Titolo: per Zipman: corretta wikipedia.

zipman, uomo dal cervello zippato, adesso la wikipedia dice quello che
dico io (poiche l'ho corretta, anzi non l'ho corretta, l'ho resa piu'
esauriente):
http://en.wikipedia.org/wiki/Rainbow_table#Defense_against_rainbow_tables
There is some misunderstanding around this question. It must be said
that 'salt' is an effective protection since the salt itself is unknown
to the attacker. This is more or less the normal scenario, (e.g.: when
the attack comes from the outside and the attacker doesn't have access
to shadow file).
-- 
Massimiliano

 zipman, uomo dal cervello zippato, adesso la wikipedia dice quello che
hai mica zippato anche il tuo mail client che scrivi qui sul ng?
--
Ranger!


e lui che ha zippato pure il suo indirizzo e-mail nel NG ...
-- 
Massimiliano



Max, tu sei sicuro di aver capito come si usa una rainbow table?
Ho l'impressione che ti sia sfuggito qualcosa di estremamente
fondamentale, ovvero il precomputing.
Ad ogni buon conto, ti rimando alla FAQ del sito del progetto originale:
http://www.antsight.com/zsl/rainbowcrack/faq.htm
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 anzi non l'ho corretta, l'ho resa piu esauriente):
TU SEI TUTTO SCEMO.
Oltre a non capire un cazzo di un discorso BANALE ti ergi anche a
professore modificando su Wikipedia la pagina che affermava le cose
correttamente introducendo una cazzata.
Scusami Thorin. Avevo dubitato di te, ma ora mi sto convincendo sempre
più che tutto sommato non avevi tutti i torti, almeno non con questo
elemento.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 
http://www.antsight.com/zsl/rainbowcrack/faq.htm
La riporto, dato che penso abbia difficoltà a leggere e capire:
Q: Can I crack linux password with RainbowCrack?
A: No. Salt is used to randomize the stored password hash. With
different salt value, same password yeilds different hash value. The
time-memory trade-off technique used by RainbowCrack is not practical
when appliable to this kind of hash.


 to shadow file).
Mi sorge un problema di logica, ma se l'attacker non ha accesso allo shadow
file, cosa se ne fa delle rainbow table e dei tools a 'forza bruta' (visto
che non ha niente con cui confrontare i tentativi di forzatura)? mi sembra
un tantinello impraticabile il fare una marea di tentativi diretti di
login.
A membra che quello che vuole dire Zipman (non ho idea se sia effettivamente
quello che succede con linux), che il salt non è che basta semplicemente
aggiungerlo alle 'tabelle', ma che ogni salt obbliga a generare una serie
completa di 'tabelle', nel qual cosa le risorse di occupazione di memoria e
di tempo macchina crescerebbero in maniera esponenziale.
In sintesi, se il salt è asimmetrico, come per le chiavi di criptazione, le
risorse richieste potrebbero essere enormi.

 di tempo macchina crescerebbero in maniera esponenziale.
Esatto. Dato che l'insieme dei possibili valori di salt è ENORME e che
ogni tabella occupa diversi GB, sarebbero richieste risorse così elevate
che probabilmente la somma di tutto lo spazio di archiviazione
disponibile sul pianeta non potrebbe ospitarle (senza considerare i
tempi di computazione).


 tempi di computazione).
Scusa, non mi torna l'algoritmo di salt descritto in wikipedia. 
Non dovrebbe essere hash=md5(salt+md5(password))?
Se faccio solo md5(salt+password) allungo la password, ma non vedo come
ciò possa aumentare la sicurezza (cioè, se già all'inizio uso una passowrd
più lunga otterrei lo stesso risultato).
Grazie, Giubbe
-- 
 Home page e FAQ (divx): 
http://giubbe.altervista.org/
Inutile scrivere in privato, non ricevo le email. 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 più lunga otterrei lo stesso risultato).
La sicurezza da un punto di vista matematico non aumenta per la presenza
del salt, anche perché questo è noto. La sicurezza è sempre quella
dell'MD5, l'unica cosa che cambia è che non è possibile usare hash
precomputati per crackare le password, dato che a parità di password
l'hash cambia con il salt che è casuale.


 Max, tu sei sicuro di aver capito come si usa una rainbow table?
siamo qui per discutere ...
cmq... io ho l'impressione che qui si risponda a botte di wiki e
google.
Li' c'e' scritto questo ed e' cosi o coli'....
ora volevo un po' ragione.
Se conosco il salt, ed il salt e' una costante tra hash e password a
che cavolo serve nel momento in cui lo conosco?
cool: ho capito cos'e' il rainbow cracking :)
-- 
Massimiliano

 La sicurezza da un punto di vista matematico non aumenta per la presenza
]zac[
I vari tipi di attacco non dovrebbero essere mischiati, perché le tecniche
di difesa sono molto diverse e qualche volta contrastanti tra di loro:
- Furto della password: la sicurezza dipende dagli utenti, dalla criptazione
del traffico di rete, non scrittura di dati sensibili su file (specialmente
se permanenti :) ) e anche in memoria.
- Aggiramento della procedura di login: la sicurezza dipende quasi
esclusivamente dalla bontà del progetto e della programmazione del
programma/sistema.
- Scalata di privilegi e/o accesso a shell: La sicurezza dipende
dall'evitare gli stack overflow e simili errori di programmazione e/o
configurazione del sistema.
- Attacco a dizionario: la sicurezza dipende dagli utenti, dai controlli
effettuati all'inserimento e nell'uso delle password.
- Rottura del sistema di criptazione: la sicurezza dipende dalla solidità
dell'algoritmo di criptazione e da trucchi per renderlo più complicato
(salt).