Rainbow Tables攻击甚至是威胁吗？

Question

让我们假设一个简单的非盐渍哈希函数,只是一个普通的旧函数$hash = md5($pass).

物业:

1. 密码哈希全部发生在服务器端,哈希值存储在数据库中.客户无法看到这些.
2. 彩虹表攻击必须具有哈希知识才能检索密码.

鉴于前提2,这意味着黑客已经控制了数据库,在这一点上你手上有一个更大的问题.

因此,试图阻止彩虹表攻击只是为了保护从已经受损的数据库/系统中检索密码.它是那么简单还是我还缺少其他东西.

我已经熟悉密码散列技术,但我只是想知道为什么有关于彩虹表的炒作很多.谢谢!

Answer 1

是.

很多人都使用相同的密码.妥协原始密码(而不是简单地将其更改为您知道的密码)通常可以让攻击者访问某人在其他服务上的帐户.

与词典攻击(需要散列)或暴力(需要更多散列)相比,彩虹表的计算密集程度(简单查找)要少得多.

使用强大,独特的密码!

Answer 2

1. 密码泄露不需要控制数据库.如果我闯入你的车并偷走一堆带有数据库转储的DVD会怎么样？你做备份数据库,对不对？
2. 如上所述,人们对多个站点使用相同的密码.HBGary最近遭到匿名者的攻击,成为受害者.一个具有SQL注入漏洞的服务器变成了一个更大的折衷方案.
3. 如果我有权访问您的数据库五分钟并获得哈希,我现在可以访问您的帐户,直到您更改密码.
4. 盐很便宜.
5. 你应该使用密钥派生函数,而不是盐.