Newsgroup: it.comp.sicurezza.crittografia
Titolo: Hashing delle password

Ho sentito parlare piů volte di hashing delle password
per evitare di memorizzare le password sul server.
Prima di leggermi due o tre capitoli di "Crittografia e
Sicurezza delle Reti" di W. Stallings, vorrei chiedervi
se il mio intuito ha fatto centro o ancora una volta cilecca:
anzicchč memorizzare le pwd sul server, memorizzo gli
hash delle pwd. Quando l'utente invia (tramite SSL) la propria
pwd, il server ne fa l'hash (con lo stesso algoritmo utilizzato
nell'archiviazione degli hash) e lo confronta con quelli presenti
nell'archivio.
E' cosě?
GianpieroP (mentre spera di non aver detto una cazzata!)
----------------------------------------------------------
Lello: "Ricorda! Chi parte sa da che cosa fugge, ma non sa
quello che cerca!"
Gaetano: "Azz! L'hai fatta tu questa frase?"
Lello: "Si!"
dal film "Ricomincio da tre!"

 GianpieroP (mentre spera di non aver detto una cazzata!)
Io parteggio per la tua intuizione anche perché ho già sentito questa 
soluzione e mi pare che così avvenva pure su Linux o unix in generale.
ma gli esperti mi smentiranno sicuramente...:)
-- 
Bye,     | Stolto e' colui che invece di guardare (gnuKEY ID 0xD5D28BA9)
Sandro.  | la luna guarda il dito che la indica.      (Togli/Cut SpamNo)
---------*
WWW.KENSAN.IT
 Geek and Hacker site, LinuxHelp.it writer 
rcx.it
 mantainer

 E' cosě?
Piů o meno...
Nei due ng "crittografici" dovresti trovare vari post a tal riguardo anche
con riferimento ai vari standard utilizzabili (un po' piů raffinati del
semplice hash).
Mi pare di ricordare che se ne era anche fatto riferimento parlando di come
AxCrypt gestisce le password a bassa entropia.
Cristiano

 Nei due ng "crittografici"
????
nome, cognome, indirizzo, maternità e paternità!
GianpieroP
-------------------------------------------------
Cico: "Su forza! Avanti! Pollo, Parente e Timbretto!"
dalla commedia di Salemme "E fuori nevica!"

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
| anzicchè memorizzare le pwd sul server, memorizzo gli
| hash delle pwd. Quando l'utente invia (tramite SSL) la propria
| pwd, il server ne fa l'hash (con lo stesso algoritmo utilizzato
| nell'archiviazione degli hash) e lo confronta con quelli presenti
| nell'archivio.
Fondamentalmente sì, ma se vuio fare le cose "raffinate" sarebbe melgio
non memorizzare il semplice hash ma un hash "ripetuto con sale" un
numero sufficente di volte da rendere la computazione globale "appena
appena non troppo lunga" (magari 1-2 secondi), memorizzando poi anche i
metadati come il sale e il numero di ripetizioni in DB, s'intende
(altrimenti non potresti ricontrollare).
In questo modo eviti attacchi precalcolati e rallenti in ogni caso il
lavoro all'attaccante anche nel malaugurato caso che ti rubino l'intero
DB degli hash.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAfYI8ACgkQaJiCLMjyUvtCbACeNgkvPebyR3HDvo5O+rsnaH1H
fWoAoJLYftbHAW0jazylUCS5HFpHA1tI
=eKpO
-----END PGP SIGNATURE-----

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
GianpieroP wrote:
|>Nei due ng "crittografici"
| nome, cognome, indirizzo, maternità e paternità!
*questo* e lo zio "punto piggippì"
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.2 (Cygwin)
Comment: Using GnuPG with Mozilla - 
http://enigmail.mozdev.org
iEYEARECAAYFAkAfX/AACgkQaJiCLMjyUvu6KACfdz2WCV36kkvCWdp8kKWtjL6O
HXwAn0VFba0TgP04NsblKJ2t3lVlzCNG
=3XG+
-----END PGP SIGNATURE-----

 *questo* e lo zio "punto piggippì"
Che continua ad essere molto frequentato, mozilla reader mi segnala 192 
per questo e 83 per .pgp per quanto riguarda le unread, comunque il 
traffico dovrebbe essere buono per una eventuale proproga della scadenza.
