M@ds wrote in news:3c9767a1$0$66980$edfadb0f@dspool01.news.tele.dk:
> "Jesper Stocholm" <spam200203@stocholm.dk> wrote in message
> news:Xns91D2C80D8478Fspamstocholmdk@192.38.208.81...
>>
>> hvis featuren er i kategorien "nice to have", så vil jeg mene, at det
>> vil være langt rigeligt med MD5 (samme side). Hvis featuren derimod
>> er en "must have", så ville jeg nok også vælge SHA-256.
>>
> Grunden til du vil vælge SHA-256 er det at den er 256 bit i modsætning
> til MD5's 128bit??
> Eller er der andre grunde?
>
næeh ... det er sådan set det. Der er angreb på MD5, hvor man "kun"
behøver at udregne noget i retning af 2^61 værdier for at finde et hul
.... og dette hul eksisterer ikke ved SHA-256.
> Hvis jeg havde implementeret en sådan feature, kunne det da vist også
> være ligemeget om passwordsene var krypteret i databasen.
> Jeg har implementeret en feature hvor brugeren får en mail med et
> link, som indeholder UserID og en 30 chars lang tekst streng bestående
> af tilnærmelsesvis tilfældige bogstaver og tal.
> Jeg har så i databasen gemt denne 30 chars tekst streng sammen med et
> tidspunkt, så hvis brugeren har denne streng, og komme inden den
> udløber, så kan han få lov til at indtaste et ny password.
>
det lyder rimeligt :)
> Hvor lang tid vil I mene at det vil tage at knække et MD5 digest til
> et password? Uden brug af dictionary.
Du kan ikke antage, at der ikke bruges et dictionary-attack. Du må altid
antage, at det værst mulige vil ske - og i tilfældet passwords, så er det
nok en anvendelse af en ordbog.
--
Jesper Stocholm
http://stocholm.dk
http://asp.stocholm.dk
Svar til gruppen og ikke til mig privat pr. email :|