डेटाबेस पहुंच योग्य होने पर नमक और हैशिंग का क्या मतलब है?

Question

मैंने अभी हैशिंग की अवधारणा सीखी है ("अरे! नमक मत भूलना!") और पासवर्ड सुरक्षित करने के लिए नमक का उपयोग करना।

हैशिंग यह एक तरह से एन्क्रिप्शन (वास्तव में एन्क्रिप्शन नहीं है लेकिन हैशिंग) है इसलिए इसे इंजीनियर नहीं किया जा सकता है। सट्टेबाजी हैशिंग (हैशिंग) में समस्या को हल करने से पहले पासवर्ड में यादृच्छिक रूप से बनाए गए मानों को उपसर्ग या जोड़ना है, कुछ प्रतिभा ने शब्दकोश से शब्दों की हैश तालिका प्रदान की है ताकि वे उस शब्दकोश से हैश की तुलना करें डेटाबेस से लॉगिन करने के लिए उपयोगकर्ता की तालिका - डब्ल्यू-प्रतीक्षा करें? क्या मैंने डेटाबेस से टेबल कहा? तो इसका मतलब है कि कोई डेटाबेस डेटाबेस तक पहुंच सकता है ताकि हमें नमक का उपयोग करना पड़े? यदि ऐसा है, तो हैकर को पासवर्ड पुनर्प्राप्त क्यों होगा यदि उसके पास पहले से ही डेटाबेस तक पहुंच है? अगर मैं उसे था, तो मुझे डेटाबेस से जो भी विवरण चाहिए, मैं बस उस घर का उपयोग क्यों करूंगा जो मैंने दरवाजा खोलने के लिए दरवाजा खोलने के लिए किया है यदि मैं पहले से ही खिड़की के माध्यम से घर तक पहुंच सकता हूं?

तो, हैश क्यों? नमक क्यों? मुझे समझ में नहीं आता कृपया, कोई मेरी मदद करो।

अग्रिम धन्यवाद।

महत्वपूर्ण नोट: मैं हैशिंग या नमकीन के खिलाफ नहीं हूं, मैं सिर्फ चीजों को स्पष्ट करना चाहता हूं।

Answer 1

हैं कि ऐसा है, तो क्यों हैकर पासवर्ड पुनः प्राप्त होगा वह पहले से ही डेटाबेस तक पहुँच गया है तो क्या होगा?

कई कारण हैं। यहां कुछ हैं:

1. लोग अपने पासवर्ड का पुन: उपयोग करते हैं, इसलिए हरबोडिस लीक नहीं करते वास्तविक पासवर्ड इस तरह के हमले के प्रभाव को सीमित करते हैं।

2. असली पासवर्ड के बिना, हैकर अभी भी लॉग इन करने और हैक सिस्टम पर नई प्रविष्टियां पोस्ट करने में सक्षम नहीं होगा।

3. कौन कहता है सभी जानकारी डेटाबेस में संग्रहीत है? क्या होगा यदि डेटाबेस में उपयोगकर्ता नाम और शेड/नमकीन पासवर्ड शामिल हों? फिर, सामग्री को जानना ज्यादा मदद नहीं करता है।

Answer 2

नमक का उपयोग किया जाता है ताकि समान पासवर्ड के पास अलग-अलग हैंश हो, जिससे पासवर्ड को कठिन तरीके से समझने का प्रयास किया जा सके।

हैशिंग इसे बनाता है ताकि ब्रूट फोर्स विधियों के माध्यम से पासवर्ड उत्पन्न करना बहुत लंबा समय लगे (विशेष रूप से SHA2 के साथ) ताकि यह पासवर्ड खोजने के लिए "असुरक्षित" हो।

यदि कोई पासवर्ड पासवर्ड में हैश टाइप करने के रूप में पासवर्ड नहीं जानता है तो एक हैश आपको अच्छा नहीं करेगा (जाहिर है)।

आमतौर पर हैकर्स केवल उपयोगकर्ता टेबल और शायद कुछ बुनियादी जानकारी पाते हैं, लेकिन यदि वे वास्तव में उन उपयोगकर्ताओं की जानकारी तक पहुंचने और कुछ बदलने में सक्षम होना चाहते हैं तो उन्हें वास्तविक पासवर्ड चाहिए (क्योंकि वे पूरी डीबी स्कीमा को कुछ नहीं बदलते हैं बहुत संदिग्ध लग सकता है और जब तक आप वैध रूप से व्यक्ति के रूप में लॉगिन नहीं करते हैं तो आसानी से पता लगाया जा सकता है)

एक आखिरी बात जो मैं भूल गया वह यह है कि लोग पासवर्ड का पुन: उपयोग करते हैं।तो हो सकता है कि आपने कुछ यादृच्छिक साइट हैक की है जिसके बारे में कोई उपयोगी जानकारी नहीं है लेकिन व्यक्ति ने अपने ऑनलाइन बैंकिंग पर एक ही उपयोगकर्ता/पासवर्ड संयोजन का उपयोग किया है। यह बहुत बुरा हो सकता है क्योंकि आप देख सकते हैं ताकि पासवर्ड आसानी से समझने में सक्षम न हो।

Answer 3

यदि आपके पास डेटाबेस से क्लीयरएक्स्ट पासवर्ड और ई-मेल पते हैं, तो आप विनाश को खत्म कर सकते हैं! यह उस साइट पर प्रमाण-पत्र प्राप्त करने के बारे में नहीं है जो पहले से ही हैक किया गया है, यह अन्य साइटों पर लॉगिन जानकारी प्राप्त करने के बारे में है।

अधिकांश लोग केवल एक साइट के लिए एक पासवर्ड का उपयोग नहीं करते हैं, इसलिए यदि आपके पास उनके प्राथमिक ई-मेल पते के लिए पासवर्ड है, तो संभवतः आपके पास प्रत्येक साइट (पासवर्ड रीसेटिंग के माध्यम से) पर उनके सभी खातों तक पहुंच होगी।

Answer 4

डेटाबेस से उपयोगकर्ता रिकॉर्ड के कब्जे में होने का मतलब यह नहीं है कि आपके पास डेटाबेस तक पहुंच है। वेबसाइट (हैलो, एसक्यूएल इंजेक्शन) में कुछ रिसाव के माध्यम से आप उस डेटा तक पहुंच प्राप्त कर सकते हैं जिसके पास आपको पूरे सर्वर से समझौता किए बिना पहुंच नहीं होनी चाहिए। बुरी तरह से संभाले गए बैकअप, साझा सर्वर, अक्षम या दुर्भावनापूर्ण कर्मचारी सभी इसे संभव बना सकते हैं।

इसके अलावा और संभवतः अधिक महत्वपूर्ण बात यह है कि आपको अन्य ग्राहकों पर अपने ग्राहक के पासवर्ड की रक्षा करने की आवश्यकता है। लोग दुर्भाग्यवश पूरे स्थान पर अपने पासवर्ड का पुन: उपयोग करते हैं। यदि आपका छोटा चैट रूम डेटाबेस समझौता हो जाता है, तो उनके बैंकिंग साइटों पर लोगों के पासवर्ड से समझौता किया जा सकता है।

Answer 5

मान लीजिए कि किसी हमलावर को किसी भी तरह डेटाबेस के बैकअप तक पहुंच प्राप्त नहीं होती है, जिसमें अप्राप्य हैश किए गए पासवर्ड होते हैं। तब उनके पास कल सभी डेटा मौजूद थे, जो काफी खराब है। लेकिन कम से कम उनके पास उस डेटा तक पहुंच नहीं है जो कल वहां होगी, और वे वास्तविक साइट से कुछ भी नहीं हटा सकते हैं, इसे खराब कर सकते हैं, इसके सीएमएस के माध्यम से मैलवेयर की सेवा कर सकते हैं।

मान लीजिए कि एक हमलावर हो जाता है हर किसी के सादे टेक्स्ट पासवर्ड, खासकर अगर इसमें व्यवस्थापक शामिल है। उफ़।