Veiliger voor de toekomst

Waarom meer rekenkracht over paar simpele wachtwoorden heen gooien?
SHA256/512 is in dit geval al genoeg of gewoon een SHA256/512 en een AES Encryption met private key. Met daar nog een saltje van 20-30 characters bij.

Op het moment wordt het gegenereerd met een dubble random salt waar voor elke aparte salt een versleuteling overheen gaat en over het geheel nog 1, aka je moet salts hebben + de codering 3x doorbreken om het te achterhalen.

Waarom deze beveiling? Zodat we verlopig er niet meer op hoeven te letten, aangezien computers ook steeds sneller en beter worden dachten we dat we beter het al ver vooruit kunnen gooien voordat de technologie ons weer is inhaalt

Ik zie je punt wel in het hashen op die manier ervan, maar brengt wel erg veel workload met zich mee. (Opzich maakt dat niet uit met de ~100 online bezoekers)

[func]sha1[/func]

Er staat daar ook een note bij die zegt dat je sha1 beter niet kunt gebruiken voor password hashing.

Maarja het is in iedergeval beter dan niets, zoals je de laatste tijd veel hoorde bij overheids instellingen.

Sorry Koen maar ik vind het slecht dat je het volgende zegt:

Citaat

Hierdoor kunnen wij jullie garanderen dat als men ooit onze database zou stelen (je weet nooit), dat men jullie wachtwoorden NIET kan ontsleutelen.

je gaat er versteld van staan dat als je heeeeeel lang het gaat doen hij gewoon kan worden gekraakt..

voor de rest waarom geen gebruik van hashes i.p.v sha1 ? En die beveilig je gewoon zo zeer met meer dingen maar dat is logisch.

Maar ik vind het als gebruiker en webdeveloper eigenlijk niet van toepassing om dit soort nieuwtjes te melden. Aangezien je hierdoor dus weer van die mensen gaan krijgen die denken even ddossen of andere dingen..

NielsB bij je tweede paragraaf gaf ik het al op en kun je volgens mij beter buiten de beveiliging blijven. SHA is een soort hashing... Daarnaast zal dit verre weg van snel worden gekraakt.

K.Rens, gaat dit alleen om ons wachtwoord? Stel de database word gehackt, dan heeft de hacker ons wachtwoord niet (lekker belangeijk valt tog niets te halen) maar wel ons email adres?

Dat is het risico, maar helaas kun je email adressen niet hashen. Deze zou je dan (zoals mijn stukje over encryptie en decryptie onder scripts) moeten encrypten met AES. De AES Encryptie die ik gebruikte in dat script is een 512 bit aes encryptie. Dan kunnen ze alleen de email decrypten doormiddel van een private key, deze staat in het script gedefineerd. Nou kun je wel zeggen van: wat als de ftp wordt gehackt? Als dat het geval is ben je sowieso f*cked met alles. Je moet de server zo beveiligen dat ze daar nooit bij komen.

Best jammer dat je deze techniek zo laat toepast.
Word al een aantal jaren gebruikt, bijv. MyBB

Welke salts gebruik je? (c)

Opzich een encryptie met AES 512 is niet super zwaar en wordt ook gebruikt voor certificaten. Als je natuurlijk aan de 100k gebruikers tikt dan kan het wat CPU eisen. Daarnaast kun je dan altijd kiezen voor AES 256 en het duurt meer dan 1000k miljard jaar om zoiets te bruteforcen omdat er geen rainbow tables voor zijn

Moeten we nu massaal ons wachtwoord updaten via de wachtwoord wijzigen feature of wordt het automatisch omgezet tijdens het inloggen?

Over welke adviezen van de industrie heb je het? Het advies om PBKDF2 te gebruiken? Of misschien het advies voor bcrypt of scrypt?

Het laatste vind ik minder interessant om te weten dan het eerste.

Citaat van Darsstar

Moeten we nu massaal ons wachtwoord updaten via de wachtwoord wijzigen feature of wordt het automatisch omgezet tijdens het inloggen?

Over welke adviezen van de industrie heb je het? Het advies om PBKDF2 te gebruiken? Of misschien het advies voor bcrypt of scrypt?

Het laatste vind ik minder interessant om te weten dan het eerste.

Ik zou zo ie zo je wachtwoord veranderen. want koen is er niet zeker van dat ze database veilig is.

@koen

Je kan ook gewoon eerlijk zijn en gewoon zeggen dat deze omschakeling een makkelijke manier is om over te stappen naar de nieuwe versie.

Wolttab gebruikt precies de zelf encryptie.

Daarnaast mag ik denk namens iedereen zeggen. dat ik nog niet opnieuw heb moeten inloggen. wat betekent dat mijn wachtwoord niet gewijzigd is.

Citaat van K.Rens

Ps: Jopitan, jou salt zou bijvoorbeeld het volgende kunnen zijn:
J0p!t@nM!jLeurokKeurorH@rD

Dat snap ik, het was ook een sarcastische vraag (vandaar de (c))

rickvbeek,
Het is inderdaad wel een beetje raar, naar mijn mening zou je in principe geforceerd moeten worden naar een pagina waar je een nieuw wachtwoord in moet vullen en je oude wachtwoord daarbij ook moet invullen ter verificatie zodat alle wachtwoorden geforceerd worden geupdate. Dit is niet meer dan normaal.