Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Релиз языка программирования PHP 7.3, opennews (?), 06-Дек-18, (0) [смотреть все] То ли у них был человек, все эти годы поддерживающий версию для BeOS не смотря н, Аноним (5), 22:35 , 06-Дек-18, (5) +14 Язык весьма неплохой В каждой функции есть своя изюминка Например, при помощи , Аноним (9), 23:06 , 06-Дек-18, (9) +21 // То ли дело хипстота, помешанная на магии современных ЯП и фреймворков, не позвол, Аноним (10), 23:14 , 06-Дек-18, (10) +5 // Обидно оказаться с револьвером, когда у кого-то пулемёт на турели , Аноним (29), 02:45 , 07-Дек-18, (29) +2 // Да ладно, в хипстерских поделках там сам рантайм обычно просто косая кирпичная к, Онаним (?), 09:29 , 07-Дек-18, (44) +2 Пример можно , ъ (?), 03:20 , 07-Дек-18, (31) +2 // не будет примера, это же очевидно, blblblblbl (?), 11:02 , 07-Дек-18, (60) 30 секунд в гуглеhttps blog ripstech com 2018 new-php-exploitation-technique , YetAnotherAnon (?), 11:06 , 07-Дек-18, (62) –1 // уже смешноновоявленные секурные спецы оправдывают своё существование и пытаются , blblblblbl (?), 11:35 , 07-Дек-18, (63) +2 Вы хоть сами прочитали этот бред Это из той же оперы как вирус для линукса для з, Ilya Indigo (ok), 11:45 , 07-Дек-18, (65) –1 А, ну примерно такой глубины кульхацкерской мысли я и ждал , ъ (?), 12:17 , 07-Дек-18, (71) +1 http www opennet ru opennews art shtml num 49641, userd (ok), 12:20 , 07-Дек-18, (72) +1 // это всё, что нужно знать, blblblblbl (?), 13:05 , 07-Дек-18, (77) –1 1 file_exists - бесполезная ф-ия, так как не проверяет доступен ли файл может , Ilya Indigo (ok), 11:39 , 07-Дек-18, (64) –1 // ну не скажи - если файл используется для синхронизации - тот же lock и в шеле по, fi (ok), 12:13 , 07-Дек-18, (70) // Давайте вынесем шелл за скобки, и собственно содержательную часть проверки сущес, userd (ok), 12:37 , 07-Дек-18, (75) +2 Лет 10 точно использую кэш для сайтов, самая первая строка любого урла на любом , SenaIVV (?), 13:32 , 07-Дек-18, (82) мало запросов значит, ибо file_exists при инвалидации не атомарен и можно нарват, blblblblbl (?), 13:36 , 07-Дек-18, (83) –1 Абсолютно никак такое не получить Файл просто накроется новым параллельным кодо, SenaIVV (?), 13:41 , 07-Дек-18, (84) про это я и говорю, не должно быть более одного писателя _ если писателей 1 зна, blblblblbl (?), 13:54 , 07-Дек-18, (86) Если писать кэш одной строкой, один раз для файла, то без разницы сколько конкур, SenaIVV (?), 14:06 , 07-Дек-18, (88) Я за 20 лет столько таких кешей повидал и к чему это приводит, что до сих пор уд, blblblblbl (?), 14:22 , 07-Дек-18, (89) Вам ан каком языке написать - тест 64мб памяти которых уже никогда не увидеть , SenaIVV (?), 14:33 , 07-Дек-18, (90) я никого уговаривать не собираюсь, делайте как хотите, размер памяти тут не при , blblblblbl (?), 15:26 , 07-Дек-18, (103) Есть пример с файловым кэшем для околореалтайм интерфейса is_file проверка ко, Аноним (116), 17:16 , 07-Дек-18, (116) Выглядит сие высокоуровнево вот так first, try from cache if is, Аноним (116), 17:20 , 07-Дек-18, (117) Ну и readCache с lockCache static protected function readCache id, items, , Аноним (116), 17:25 , 07-Дек-18, (118) кеш околореалтайм генерится схема какая , blblblblbl (?), 17:29 , 07-Дек-18, (119) Обновление кэша - три-четыре запроса поверх ZeroMQ к фоновым частям приложения , Аноним (116), 17:41 , 07-Дек-18, (121) Ну то есть писателей в моей схеме нет, читатели сами обновляют кэш В случае с пи, Аноним (116), 17:43 , 07-Дек-18, (122) Под писателями я имею ввиду тех читателей, которые обнаружили невалидный кеш и п, blblblblbl (?), 18:35 , 07-Дек-18, (129) Читатель видит протухший кэш и пытается взять LOCK_EX Как только LOCK_EX взят -, Аноним (116), 18:48 , 07-Дек-18, (131) Получается, что несколько потоков могут одновременно считать новое значение, т к, blblblblbl (?), 19:15 , 07-Дек-18, (132) Нет, не могут Несколько потоков могут контендиться на LOCK_EX на время валидаци, Онаним (?), 00:38 , 08-Дек-18, (135) Для обхода конкуренции с ридерами и предотвращения рейсов сделана хитрость лок-, Онаним (?), 01:09 , 08-Дек-18, (136) И да, я же вам написал - люди делающие php не сопли жуют, а пишут код Писатели , SenaIVV (?), 14:37 , 07-Дек-18, (91) Проще делать блокировку с обновлением при чтении, проверяя на обновление соседом, Аноним (116), 17:35 , 07-Дек-18, (120) Если уж дело идёт про скорость, то require_once - это костыль рукожопов, котор, Ilya Indigo (ok), 15:02 , 07-Дек-18, (97) Нет, у меня такой ситуации не может быть, что файл есть, но не доступен для чтен, SenaIVV (?), 15:23 , 07-Дек-18, (102) +1 Буду знать что file_exists кому-то всё же нужна на мой взгляд в редкой для PHP, Ilya Indigo (ok), 15:59 , 07-Дек-18, (107) И, кстати, на счет скорости проверки наличия - не все так очевидно Я до теста с, SenaIVV (?), 15:30 , 07-Дек-18, (104) +1 о классное решение, выложи пожалуйста посмотреть на кодохостинг https govnoko, hellobillyboy (?), 20:32 , 07-Дек-18, (133) flock не панацеянужно делать pid-файл через fopen x и проверять статус процесса, blblblblbl (?), 13:51 , 07-Дек-18, (85) версионность через симлинк, Sw00p akaJerom (?), 14:42 , 07-Дек-18, (92) это уже детали реализации, можно и через mv, смотря что делается, новый tmp тоже, blblblblbl (?), 15:07 , 07-Дек-18, (98) т е если делаешь демона, то симлинк тут никаким боком, в остальном страдать вер, blblblblbl (?), 15:09 , 07-Дек-18, (99) Это только если вы тоже хотите его юзать, но есть часто используемая технология , fi (ok), 18:12 , 07-Дек-18, (124) Эксплоит работает, но ровно в одном случае данные от юзера не фильтруются и исп, blblblblbl (?), 13:07 , 07-Дек-18, (78) // Понятно, это как новость от супер-пупер антивирусной компании найден супер-пупер, Ilya Indigo (ok), 16:04 , 07-Дек-18, (108) –1 откуда в нормальной системе возьмется такой файл В том месте, где появляются ка, пох (?), 16:48 , 07-Дек-18, (111) –1 https blog ripstech com 2018 new-php-exploitation-technique https securitybo, Аноним (127), 18:28 , 07-Дек-18, (127) Не ожидал от них такой подлости Прямо удар в спину , Аноним (11), 23:15 , 06-Дек-18, (11) +8 Но зачем , Аноним (12), 23:28 , 06-Дек-18, (12) // чтобы можно, было, вот, так, , Пользователь Debian (?), 23:32 , 06-Дек-18, (13) +9 Возможно, через ЭТО уже кто-то как-то зловредничал , КГБ СССР (?), 23:32 , 06-Дек-18, (14) unset very_long_name, very_very_long_name, very_very_very_long_name, Аноним (15), 23:38 , 06-Дек-18, (15) +10 слизали с js, хотя может в js тоже взяли откуда то На самом деле довольно удобно, Антон (??), 23:53 , 06-Дек-18, (17) –1 // В perl е это уже кучу лет можно Просто супер удобно , Q2W (?), 00:11 , 07-Дек-18, (18) +1 // Write-only language , Аноним (25), 01:20 , 07-Дек-18, (25) –1 Если у Вас проблемы с чтением такого https github com bugzilla bugzilla blob 5, Аноним (33), 04:48 , 07-Дек-18, (33) Write-only аноним, Аноним (34), 05:50 , 07-Дек-18, (34) +2 мне этого сильно не хватает в SQL Я уже задолбался эту последнуюю запятую стави, Антон (??), 09:18 , 07-Дек-18, (42) +1 А где там массивы , vedronim (?), 11:49 , 07-Дек-18, (66) В инсертах, например , ъ (?), 12:23 , 07-Дек-18, (73) Во все языки это добавляют со временем, Junior frontend developer (?), 21:14 , 07-Дек-18, (134) +1 затем же зачем в массиве можно оставлять запятую , Григорий Федорович Конин (?), 00:42 , 07-Дек-18, (21) +1 Для удобства, Rom1 (??), 08:16 , 07-Дек-18, (40) Это как раз-таки самое нужное, а то я давно устал уже при динамических строках м, SenaIVV (?), 13:56 , 07-Дек-18, (87) Да сдалась 300 лет эта убогая ф-ия для идиотов, в которой ещё заботливо запретил, Ilya Indigo (ok), 00:22 , 07-Дек-18, (19) –1   // У тебя что, соль какая-то особая, забористая Чем обычная не устраивает, а , blblblblbl (?), 01:19 , 07-Дек-18, (24) +3   // Особенная, состоящая из статической и динамической части, при этом статическая х, Ilya Indigo (ok), 09:32 , 07-Дек-18, (46) –1   // Security by obscurity Спец, без сомнения , Аноним (55), 10:42 , 07-Дек-18, (55) +3   Т е утекла каким-то образом статическая часть, здравствуй генерация новых парол, blblblblbl (?), 10:43 , 07-Дек-18, (56)   1 НЕТ Без динамической части соль бесполезна, для генерации нужна и соль и данн, Ilya Indigo (ok), 11:06 , 07-Дек-18, (61)   1 зачем тогда статический кусок без него это такой же хеш динамическая соль , blblblblbl (?), 12:02 , 07-Дек-18, (68)   Затем, чтобы1 При получении доступа к БД злоумышленник не смог получить всю соль, Ilya Indigo (ok), 12:35 , 07-Дек-18, (74)   идея не плохая с разделением на части соли, но прикол в том, что постановка зада, Sw00p akaJerom (?), 14:54 , 07-Дек-18, (94)   Я с вами не согласен 1 Без ssh доступа к серверу нет, а если доступ получен, то , Ilya Indigo (ok), 15:22 , 07-Дек-18, (101)   принято, если со мной не согласны, то посоветую более вторитетный источник - Б , Sw00p akaJerom (?), 15:50 , 07-Дек-18, (106)   на то и коллизии существуют, Sw00p akaJerom (?), 14:44 , 07-Дек-18, (93)   какова вероятность коллизии у bcrypt с blowfish или argon2 тупой брутфорс на вид, blblblblbl (?), 15:20 , 07-Дек-18, (100)   ровно такая же как и md5, все зависит от битности от чего зависит эта медленнос, Sw00p akaJerom (?), 15:38 , 07-Дек-18, (105)   а в реальной жизни, без применения велосипедов тот же солёный md5 можно, но реал, blblblblbl (?), 16:46 , 07-Дек-18, (110)   Собственно я к тому, что любой хеш нам только даёт возможность распознать утечку, blblblblbl (?), 16:49 , 07-Дек-18, (112)   ну если так надо, берёшь С и завозишь пулл-реквестомзачем , blblblblbl (?), 01:21 , 07-Дек-18, (26)   // Трачу от недели до месяца на разбор всех тонкостей как это делается, реквестю, и, Ilya Indigo (ok), 09:42 , 07-Дек-18, (49)   http php net manual ru function password-hash php, Мимокрокодил (?), 09:34 , 07-Дек-18, (47) –1   // И что ВниманиеЭта опция была объявлена устаревшей начиная с PHP 7 0 0 Рекоменду, Ilya Indigo (ok), 09:45 , 07-Дек-18, (51)   отличный релиз замечательного инструмента Всех поздравляем , java developer (?), 02:25 , 07-Дек-18, (28) +2 В целом, PHP стал похож на нормальный язык В него бы ещё объектно-ориентированн, Аноним (39), 08:00 , 07-Дек-18, (39) +4 // Боюсь, что поезд ушёл Ещё и оставив за собой огромный шлейф былой славы , nobody (??), 09:23 , 07-Дек-18, (43) –1 Ну вот да, перегрузки операторов зело не хватает , Онаним (?), 09:30 , 07-Дек-18, (45) Зачем они тебе , Аноним (48), 09:35 , 07-Дек-18, (48) // Затем, чтобы можно было сделать так someArray- и увидеть все методы для работы, Аноним (52), 10:09 , 07-Дек-18, (52) Все-то я согласен с вами И все правильно пишите PHP плохой, PHP ужасный, функц, Попугай Кеша (?), 10:25 , 07-Дек-18, (53) –3 // Всякие расплодившиеся курсы программирования говорят, что можно быстро взять че, blblblblbl (?), 10:58 , 07-Дек-18, (57) +1 // Нет Расплодившиеся курсы говорят, что человеки с улицы таки _покупают_ распло, Andrey Mitrofanov (?), 11:01 , 07-Дек-18, (58) +1 Есть спрос - есть предложение Да, можно Если загрузить человека несложной работ, Попугай Кеша (?), 11:02 , 07-Дек-18, (59) +2 // какой такой php, везде только и видно питон, го и жс скоро, очень скоро там бу, blblblblbl (?), 13:31 , 07-Дек-18, (81) тут скорей всего быстрота нужна разработки для клиента, PHP позволяет выстрелить, DmA (??), 11:51 , 07-Дек-18, (67) // Сравните сложность настройки сервера на PHP цену за сервер с поддержкой PHP в , Попугай Кеша (?), 12:10 , 07-Дек-18, (69) +1 // Разницы между настройкой nginx php-fpm или nginx python ruby, go нет, всё э, blblblblbl (?), 13:27 , 07-Дек-18, (80) –1 // Shared уже не использует никто Я просто не знаю, расскажите, Попугай Кеша (?), 14:55 , 07-Дек-18, (95) скажу так - те, кто его используют, могли бы свою единственную страничку с телеф, пох (?), 16:56 , 07-Дек-18, (114) Люди как не странно не любят обучаться По привычке платят Таких много , Попугай Кеша (?), 17:03 , 07-Дек-18, (115) Еще интересно за сколько вы Java развернете, Попугай Кеша (?), 14:56 , 07-Дек-18, (96) +1 хз, у меня своего софта на джаве нет а вот эластик с полпинка заводится, стиль, blblblblbl (?), 18:11 , 07-Дек-18, (123) грошовому клиенту нет необходимости задумываться о конечной стоимости - его са, пох (?), 16:54 , 07-Дек-18, (113) // это ж осваивание бюджета, ты что других причин постоянно передылывать сайт нет, blblblblbl (?), 18:12 , 07-Дек-18, (125) // а, точно - а поскольку менеджер каждый раз разный, то и карманная контора, выигр, пох (?), 23:24 , 08-Дек-18, (138) а я ещё на 5 6 сижу - , Аноним (76), 12:57 , 07-Дек-18, (76) // провинциал , DmA (??), 16:28 , 07-Дек-18, (109) У меня вот в компании только недавно подняли минимальную версию до 5 6 для выпус, Аноним (126), 18:17 , 07-Дек-18, (126) –1 // а так ведь хочется обмазаться свеженьким , пох (?), 23:24 , 08-Дек-18, (139) +1 Прелесть PHP - в его монолитном рантайме, в котором есть почти всё, что нужно дл, Аноним (116), 13:24 , 07-Дек-18, (79) +1 https blog ripstech com 2018 phpbb3-phar-deserialization-to-remote-code-execut, Аноним (127), 18:32 , 07-Дек-18, (128) // https rdot org forum showthread php t 4379, Аноним (127), 18:40 , 07-Дек-18, (130) // ой, прекрасно, еще и getimagesize ВНЕЗАПНО исполняет код - , нах (?), 09:42 , 11-Дек-18, (141) Если пых переписать на Rust, то он станет хипсторским и его перестанут называть , Аноним (137), 22:52 , 08-Дек-18, (137) // предлагаю делать форк Если что, CoC я уже готов закоммитить С вас readme md Зад, нах (?), 09:40 , 11-Дек-18, (140) –2 5,9,11,12,19,28,39,53,67,76,79,128,137

Сообщения

[Сортировка по времени | RSS]

19. "Релиз языка программирования PHP 7.3"	–1 +/–
Сообщение от Ilya Indigo (ok), 07-Дек-18, 00:22
> При сборке с опцией configure --with-password-argon2 в функциях password_hash()... Да сдалась 300 лет эта убогая ф-ия для идиотов, в которой ещё заботливо запретили использовать свою соль! Лучше бы в hash_hmac() алгоритмы bcrypt и argon2(i|id|d) завезли. А так всё равно приходится пароли алгоритмом sha3-512 хешировать. :-( А так ничего сильно полезного пока не увидел, но и нарушающего совместимость тоже. P.S. Прошёл уже год а документация по sodium всё также отсутствует даже на английском. https://secure.php.net/manual/en/book.sodium.php
Ответить | Правка | Наверх | Cообщить модератору

	24. "Релиз языка программирования PHP 7.3"	+3 +/–
	Сообщение от blblblblbl (?), 07-Дек-18, 01:19
	У тебя что, соль какая-то особая, забористая? Чем обычная не устраивает, а?
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Релиз языка программирования PHP 7.3"	–1 +/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 09:32
	Особенная, состоящая из статической и динамической части, при этом статическая хранится в конфиге, а динамическая берётся из id и время регистрации, которые запрещено менять в БД, а главное только я знаю как готовить хэш, и только я знаю как его проверять! А я всегда точно знаю, каким алгоритмом он будет создан и обязательно будет проверен, а также точно какой длины он будет! password_hash()/password_verify() предполагает что соль с параметрами всегда хранится с хешем, и алгоритм, соль и параметры мало того что всем известны, так ещё он всегда готовится и проверяется одинокого и password_verify() можно скормить вообще любой валидный хэш подсунув его вместо хэша требуемого пользователя! Такого мне не нужно, кушайте сами!
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Релиз языка программирования PHP 7.3"	+3 +/–
	Сообщение от Аноним (55), 07-Дек-18, 10:42
	> а главное только я знаю как готовить хэш, и только я знаю как его проверять Security by obscurity? Спец, без сомнения!
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 10:43
	> Особенная, состоящая из статической и динамической части, при этом статическая хранится в конфиге Т.е. утекла каким-то образом статическая часть, здравствуй генерация новых паролей. А если утекла статическая часть, то какова вероятность того, что злодей знает алгоритм готовки хеша? Соль вообще-то не обязана быть скрытой, она вообще про другое. > предполагает что соль с параметрами всегда хранится с хешем, и алгоритм, соль и параметры мало того что всем известны, так ещё он всегда готовится и проверяется одинокого и password_verify() можно скормить вообще любой валидный хэш подсунув его вместо хэша требуемого пользователя! Вот, пожалста, хеш пароля, какой он? $2y$10$kCkVDOxVduJsFkeD5mVcMO2YxK3/BcV02a0rmse6/KE6qjfDwSGcK Дан пароль jog7ygyt8t. Какой мне валидный хеш от любой другой строки подсунуть в password_verify, чтобы пароль был признан правильным? Предполагается, что пароль как бы неизвестен, т.е. брать хеш от этого пароля и предлагать тут нельзя.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	61. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 11:06
	>> Особенная, состоящая из статической и динамической части, при этом статическая хранится в конфиге > Т.е. утекла каким-то образом статическая часть, здравствуй генерация новых паролей. 1 НЕТ! Без динамической части соль бесполезна, для генерации нужна и соль и данные из БД для каждого пользователя! 2 Для password_hash()/password_verify() здравствуй генерация новых паролей By Design! > А если утекла статическая часть, то какова вероятность того, что злодей знает > алгоритм готовки хеша? Если он получил доступ к ssh, то тут, конечно, уже ничего не поможет. Но если он каким-то образом получил доступ только к MariaDB, причём прецеденты были, то это ему никак не поможет в отличие от password_hash()/password_verify() где достаточно просто всунуть валидную хэш для админа. (P.S. И да id админов в конфиге вручную задаю) > Соль вообще-то не обязана быть скрытой, она вообще про другое. Я знаю, но меня не устраивает такой принятый By Design порядок вещей, что можно получив доступ к СУБД тупо вставить хэщ другого пользователя, пароль которого тебе известен или вообще самому сгенерировать её и такой хэш будет валиден. > Вот, пожалста, хеш пароля, какой он? > $2y$10$kCkVDOxVduJsFkeD5mVcMO2YxK3/BcV02a0rmse6/KE6qjfDwSGcK Да мне плевать какой он, я сгенируирую новый стандартным способом, пароль которого буду знать и заменю хэш в таблице админа, сделаю свои тёмные дела, верну старый хеш назад, и про это даже никто не узнает, если конечно в access log не посмотреть, а если админ заходит из той же сети или с телефона такого же оператора то он даже не сможет отличить он это входил или нет.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 12:02
	> 1 НЕТ! Без динамической части соль бесполезна, для генерации нужна и соль и данные из БД для каждого пользователя! > 2 Для password_hash()/password_verify() здравствуй генерация новых паролей By Design! 1. зачем тогда статический кусок? без него это такой же хеш: динамическая соль + алгоритм хеша 2. с чего вдруг? тут перегенерация только если база утекла и то не так страшно, т.к. секретного алгоритма нет, а хеши достаточно стойкие. > Если он получил доступ к ssh, то тут, конечно, уже ничего не поможет. А если это админ-обиженка? Все алгоритмы на руках, прикопает до поры. Ну и если кто-то со стороны ходит по базе как у себя дома, то уже всё плохо.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 12:35
	>> 2 Для password_hash()/password_verify() здравствуй генерация новых паролей By Design! > 1. зачем тогда статический кусок? без него это такой же хеш: динамическая > соль + алгоритм хеша Затем, чтобы 1 При получении доступа к БД злоумышленник не смог получить всю соль и сгенерировать хэш, даже если бы знал как его генерировать. 2 Чтобы имея под рукой аналогичный сайт и/или микрофреймвёрк этого сайта и зная как её генерировать всё равно не смог бы этого сделать без доступа по ssh. > Ну и если кто-то со стороны ходит по базе как у себя > дома, то уже всё плохо. Я не говорю что это нормально, у меня вообще доступ к ней только через сокет, но я сайты не для себя делаю и админю я далеко не все, и не с одним моим сайтом проблем со взломом не было, и я не хочу нарушать эту традицию! Если я могу сделать лучше чем это по дизайну (длина хэша для пароля меньше и всегда постоянная при той же безопасности, и более высокая защита при доступе к СУБД), то я это делаю!
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Sw00p akaJerom (?), 07-Дек-18, 14:54
	идея не плохая с разделением на части соли, но прикол в том, что постановка задачи у вас изначально не правильна, она равносильна этому - есть шифрованные данные (пример в общем, и не обязательно про хеширование), но криптоаналитик не знает алгоритм, при взломе шифра, уже предполагается, что криптоаналитик знает все о шифре, и все тут дорлжно упираться в ключ (только он не известен), говорить об "атакующий не знает алгоритма" - смысла нет. И в вашем случае говорить, что атакующий не видит части соли прописанной в конфиге, имея доступ только к бд, всего лишь навсего "безопасность через неясность", что категорически не приемлемо в самом понятии криптографии (самообман). Ну есть только доступ к бд, а что мешает сделать на подобии load_file('config.php') и тому подобное? (немного поутрировал)
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 15:22
	Я с вами не согласен. > уже предполагается, что криптоаналитик знает все о шифре 1 Без ssh доступа к серверу нет, а если доступ получен, то смысла уже нет. > "безопасность через неясность" ДОПОЛНИТЕЛЬНАЯ безопасность... Безопасности много не бывает, если при этом она не вредит производительности и удобству авторизации. Это как сказать, зачем закрывать дверь на замок, ведь в наше время есть куча способов открыть любой замок, по этому замок на двери не нужен, а всё будет упираться в... > а что мешает сделать на подобии load_file('config.php') Отсутствие ssh доступа к серверу. при наличие которого уже ничего не нужно будет делать. P.S. Поставленная мной задача обломать того кто получит доступ к СУБД чтобы заменить хэш админа и зайти как ни в чём не бывало под админом, при этом сохранить надёжность хэша, удобство авторизации и уменьшить объём кэша решается. Я не говорю, что к СУБД можно будет подпускать кого угодно ничего не опасаясь! Это просто дополнительная защита, которая в случае эксплоита субд или кривых рук админа может или защитить или заставить взломщика предпринять более заметные действия например вход по ssh, который в auth.log ssh сразу будет заметен, в отличии от access.log apache.
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Sw00p akaJerom (?), 07-Дек-18, 15:50
	> Я с вами не согласен. >> "безопасность через неясность" принято, если со мной не согласны, то посоветую более вторитетный источник - Б. Шнайер, почитайте его труды, "на пальцах" все разъясняет. > ДОПОЛНИТЕЛЬНАЯ безопасность... заключил бы это в кавычки, "безопасность" - процесс, а не метод. > Безопасности много не бывает, если при этом она не вредит производительности и > удобству авторизации. Она должна быть достаточной и необходимой с условиями требований. > есть куча способов открыть любой замок, ну вот отлично, значить нужно прийти к выводу, что делается "что-то не так" >по этому замок на двери не нужен, а всё будет упираться в... дверь то, тогда зачем? >> а что мешает сделать на подобии load_file('config.php') > Отсутствие ssh доступа к серверу. при наличие которого уже ничего не нужно > будет делать. load_file - имелось ввиду средствами самой СУБД. > как ни в чём не бывало под админом ну в принципе админом быть и не нужно, если достаточно взять из базы всю информацию, которая собственно добавляется админом, если тока через админку там получить возможность для загрузки файлов и т.п. ну разные вектора и развития
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Sw00p akaJerom (?), 07-Дек-18, 14:44
	на то и коллизии существуют
	Ответить | Правка | К родителю #56 | Наверх | Cообщить модератору

	100. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 15:20
	какова вероятность коллизии у bcrypt с blowfish или argon2? тупой брутфорс на видеокарте на 4 порядка медленнее, чем у того же sha512 в конце-концов выяснилось, что защищается от подмены хеша в базе, чтоб не дать залогиниться потом под паролем для этого хеша
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Sw00p akaJerom (?), 07-Дек-18, 15:38
	> какова вероятность коллизии у bcrypt с blowfish или argon2? ровно такая же как и md5, все зависит от битности. > тупой брутфорс на видеокарте на 4 порядка медленнее, чем у того же > sha512 от чего зависит эта "медленность" ? > в конце-концов выяснилось, что защищается от подмены хеша в базе, чтоб не > дать залогиниться потом под паролем для этого хеша что имелось тут ввиду я не понял
	Ответить | Правка | Наверх | Cообщить модератору

	110. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 16:46
	> ровно такая же как и md5, все зависит от битности а в реальной жизни, без применения велосипедов? тот же солёный md5 можно, но реально сложно же > от чего зависит эта "медленность" ? насколько я понимаю, там и потребление памяти, и многораундовость влияют, и скорее всего параллелить расчёты нельзя > что имелось тут ввиду я не понял товарищ выше написал, зачем он так делает
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 16:49
	Собственно я к тому, что любой хеш нам только даёт возможность распознать утечку и инициировать смену паролей за разумное время, но не даёт 100% гарантии защищённости.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от blblblblbl (?), 07-Дек-18, 01:21
	> Лучше бы в hash_hmac() алгоритмы bcrypt и argon2(i|id|d) завезли. ну если так надо, берёшь С и завозишь пулл-реквестом > А так всё равно приходится пароли алгоритмом sha3-512 хешировать. :-( зачем?
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	49. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 09:42
	> ну если так надо, берёшь С и завозишь пулл-реквестом Трачу от недели до месяца на разбор всех тонкостей как это делается, реквестю, и в лучшем случае посылаюсь сразу, мол для паролей жрите password_hash()/password_verify() а hash_hmac вообще совсем для другого предназначен, а в худшем мой реквест просто будет висеть мёртвым грузом. Бывало, может не месяц, но достаточное кол-во времени тратил на SR а меинтайнер с подобными объяснениями их отклонял. Не так уж часто, кол-во принятых гораздо больше, но уже чую за что можно взяться, а что будет простой тратой времени. > зачем? Затем, что в отсутствии возможности использовать bcrypt и argon2(i|d|id), sha3-512 остаётся самым надёжным алгоритм для хэша пароля.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Релиз языка программирования PHP 7.3"	–1 +/–
	Сообщение от Мимокрокодил (?), 07-Дек-18, 09:34
	http://php.net/manual/ru/function.password-hash.php
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	51. "Релиз языка программирования PHP 7.3"	+/–
	Сообщение от Ilya Indigo (ok), 07-Дек-18, 09:45
	И что? Внимание Эта опция была объявлена устаревшей начиная с PHP 7.0.0. Рекомендуется использовать автоматически генерируемую соль.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема