Új hozzászólás Aktív témák

• #27 PistiSan addikt

  Új Válasz 2017-02-27 08:06:51 #27

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  PistiSan

  addikt

  Köszi a cikket, és a magyarázó hozzászólásokat is.

• #26 haxiboy veterán E.Kaufmann #19

  Új Válasz 2017-02-25 12:00:52 #26

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  haxiboy

  veterán

  válasz E.Kaufmann #19 üzenetére

  Az nem urban legend. Csak egy "professzionális hacker" megtanult parancsikont készíteni.

• #25 lezso6 HÁZIGAZDA bambano #15

  Új Válasz 2017-02-25 11:11:40 #25

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  lezso6

  HÁZIGAZDA

  LOGOUT blog (1)

  válasz bambano #15 üzenetére

  De azt írad, hogy "ez a collision". Amúgy persze, minden ellen lehet találni sebezhetőséget. Ezért kell használni a lehető legújabbat.

• #24 lezso6 HÁZIGAZDA cami][us #23

  Új Válasz 2017-02-25 11:10:29 #24

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  lezso6

  HÁZIGAZDA

  LOGOUT blog (1)

  válasz cami][us #23 üzenetére

  Heh, akkor a gitnek lőttek, mármint a publikusoknak. Ideje SHA-2 algoritmust használni.

• #23 cami][us őstag

  Új Válasz 2017-02-25 10:55:11 #23

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  cami][us

  őstag

  epic fail 😂😂😂

• #22 E.Kaufmann veterán emvy #20

  Új Válasz 2017-02-25 09:20:50 #22

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  E.Kaufmann

  veterán

  válasz emvy #20 üzenetére

  Bizonyíthatóan nem egyszerű a 3 hónap sem , persze azért jobb lenne ha több millió év kellene hozzá

• #21 emvy félisten haxiboy #18

  Új Válasz 2017-02-25 08:58:15 #21

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  emvy

  félisten

  válasz haxiboy #18 üzenetére

  Nem mindegy, hogy véges vagy praktikusan végtelen ideig kell-e próbálkozni. Az utóbbi esetén hiába érné meg..

• #20 emvy félisten bambano #15

  Új Válasz 2017-02-25 08:56:43 #20

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  emvy

  félisten

  válasz bambano #15 üzenetére

  Az a lényege, hogy bizonyíthatóan ne lehessen egyszerűen megtalálni.

• #19 E.Kaufmann veterán haxiboy #18

  Új Válasz 2017-02-25 08:46:19 #19

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  E.Kaufmann

  veterán

  válasz haxiboy #18 üzenetére

  Ha nem lenne ott, az olyan technika lenne mint az urban legend 4kByte tömörítő

• #18 haxiboy veterán sztanozs #6

  Új Válasz 2017-02-25 05:27:53 #18

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  haxiboy

  veterán

  válasz sztanozs #6 üzenetére

  Tetszőlegesen addig valtoztatom töltelék kóddal amíg megfelelő nem lesz a hash. Sokáig tart de ha megéri akkor miért ne? Minden hashelési technológiában ott az ütközés lehetősége.

• #17 kymera őstag Psych0 #16

  Új Válasz 2017-02-24 21:46:55 #17

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  kymera

  őstag

  válasz Psych0 #16 üzenetére

  Attól még elő fog fordulni

• #16 Psych0 őstag lezso6 #13

  Új Válasz 2017-02-24 20:08:10 #16

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Psych0

  őstag

  válasz lezso6 #13 üzenetére

  Lattam egy eloadast Linustol, ahol azt mondta, hogy az integritas ES a security miatt hasznalnak SHA1-t a gitben, mert nem akarta, hogy ez megegyszer elofordulhasson.

• #15 bambano titán lezso6 #11

  Új Válasz 2017-02-24 19:26:00 #15

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  bambano

  titán

  LOGOUT blog

  válasz lezso6 #11 üzenetére

  majd lesz másik algoritmus a többi ellen.
  ettől még egyszerűen belátható, hogy tetszőleges algoritmus esetén is mindig lehetséges marad az ütközés. max. nem találod meg.

• #14 [Newman] tag

  Új Válasz 2017-02-24 19:20:16 #14

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  [Newman]

  tag

  Az ABEV nevű NAV-os program is SHA1-el írja alá a dokumentumokat

  Nem biztonsági okokra van használva, de ha két dokumentumnak különböző a tartalma és azonos a hash, akkor én nem szeretnék olyan adóbevallást beadni, amit valaki kicserélhet akármire és észre sem lehet venni.

• #13 lezso6 HÁZIGAZDA cami][us #3

  Új Válasz 2017-02-24 18:04:34 #13

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  lezso6

  HÁZIGAZDA

  LOGOUT blog (1)

  válasz cami][us #3 üzenetére

  Ellenőrző-összegeket nem érinti. Ez a sebezhetőség csak arra jó, ha valamilyen SHA-1 alapú hitelesítésről van szó. Így pl ugyan a GIT is SHA-1 algoritmust használ, de ott nem probléma, hisz a hash nem security okokból van használva.

• #12 lezso6 HÁZIGAZDA Plexicushio #1

  Új Válasz 2017-02-24 18:02:18 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  lezso6

  HÁZIGAZDA

  LOGOUT blog (1)

  válasz Plexicushio #1 üzenetére

  Az SHA-512 az gyakorlatilag a SHA-2. Van belőle 224, 256, 384 és 512-es variáns is. Amúgy elavultnak tekinthető, mert van már SHA-3 is.

  Az MD5 meg SHA-1 csak hexakód esetén 32 meg 40 karakter. Amúgy 128 meg 160 bit. Normál 8 bites kódolásban csak 16 meg 20 karakter. Egyébként meg nem a bitek száma, hanem az algoritmus számít.

• #11 lezso6 HÁZIGAZDA bambano #5

  Új Válasz 2017-02-24 17:57:10 #11

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  lezso6

  HÁZIGAZDA

  LOGOUT blog (1)

  válasz bambano #5 üzenetére

  Ez a támadás csak SHA-1 ellen jó. Írják is, hogy SHA-2 és SHA-3 javasolt.

• #10 sztanozs veterán E.Kaufmann #9

  Új Válasz 2017-02-24 17:20:45 #10

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sztanozs

  veterán

  válasz E.Kaufmann #9 üzenetére

  Igen, az egyezéshez szükséges plusz infót beletolják pl egy comment mezőbe (vagy egy nem használt binary blob-ba), ami sosem lesz megjelenítve.

  VPN-t szerintem nem nagyon érinti, mert az egyezéshez kell plusz adat, ami valószínüleg már nem fér el a csomagban (ráadásul még real-time nem tudnak sha1 collision-t csinálni).

• #9 E.Kaufmann veterán

  Új Válasz 2017-02-24 17:15:26 #9

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  E.Kaufmann

  veterán

  Ok, hogy van ütközés, de egy direkt kártékony változtatást, ha nem is vírust, de pl rosz számlaszámot, postázási címet be tudnak vinni egy létező doksiba, hogy a hash érték azonos maradjon, esetleg még amellett is, hogy a doksi többi része is változik de értelmes marad a dokumentum?
  Mert egy megrendelés helyett a micimackó egy alternatív fordítását küldve ugyanazzal a hash-el nem sokra mennek.

  Ez mennyire érinti a legalább a bejelentkezéshez SHA1-et alkalmazó VPN megoldásokat?

• #8 sztanozs veterán #79563158 #7

  Új Válasz 2017-02-24 16:31:14 #8

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sztanozs

  veterán

  válasz #79563158 #7 üzenetére

  Itt van egy jó példa az ütközésre - és igen működő ütköző hash-ű kódot (binárist) könnyű készíteni, ütköző certificate-et viszont nehéz (szinte lehetetlen) lesz találni.

• #7 #79563158 törölt tag sztanozs #6

  Új Válasz 2017-02-24 16:15:09 #7

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  

  #79563158

  törölt tag

  válasz sztanozs #6 üzenetére

  Azt tegyük hozzá, hogy sok erőforrás kell egy ilyen ütközés megtalálásához és semmi nem garantálja, hogy tudsz olyan kártékony kódot generálni, ami ütközik egy legit, aláírt binárissal.

• #6 sztanozs veterán bambano #5

  Új Válasz 2017-02-24 16:02:30 #6

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sztanozs

  veterán

  válasz bambano #5 üzenetére

  Csak az a kérdés, hogy mekkora adatmennyiség kell az ütközéshez és mennyi idő alatt generálható le egy tetszőleges ütközés.

• #5 bambano titán

  Új Válasz 2017-02-24 15:18:29 #5

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  bambano

  titán

  LOGOUT blog

  nem létezik olyan hashelés, aminél ez az ütközés kizárható.

• #4 Madárpók aktív tag cami][us #3

  Új Válasz 2017-02-24 15:14:17 #4

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Madárpók

  aktív tag

  válasz cami][us #3 üzenetére

  Kb. semennyire, legalábbis a még egy jó ideig biztos nem.

• #3 cami][us őstag

  Új Válasz 2017-02-24 14:15:01 #3

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  cami][us

  őstag

  A torrentezést ez hogy érinti?

• #2 sztanozs veterán Plexicushio #1

  Új Válasz 2017-02-24 14:02:23 #2

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sztanozs

  veterán

  válasz Plexicushio #1 üzenetére

  Nem most találtak ütközést, hanem mostanra csináltak olyan PoC kódot, amivel (értelmes időn belül) SHA1-vel aláírt tartalomhoz lehet gyártani azonos aláíást produkáló másik fájlt.
  Az 512 azért is messzebb van, mert nem azonos az hash kód generálása (nem csak a kulcshossz nagyobb).

• #1 Plexicushio senior tag

  Új Válasz 2017-02-24 13:35:04 #1

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  Plexicushio

  senior tag

  Messzi még a SHA512 ...

  Nem hittem volna, hogy még csak most "találtak" ütközést. md5 32 karakter, a sha1 meg 40.

Új hozzászólás Aktív témák