Слабое звено безопасности
Я прочитал массу информации о паролях хеширования и паролей, делаю, не делаю и т.д. Проблема, которую я вижу, заключается в следующем: если хакер попытается украсть список хэшированных паролей, не так ли? тогда есть доступ ко всем данным, которые защищены паролем? Это как хранить комбинацию в сейфе, в сейфе. Взлом и кража комбинации. Если бы я был вором, я бы взял деньги.
Теперь у большой компании, вероятно, есть отдельный сервер только для аутентификации. Однако хакер хочет получить данные, а не пароли. Поэтому, если оба сервера равны, я бы разбил тот, который содержит данные.
Есть ли какой-то основной недостаток компьютерной безопасности, который я здесь упускаю? Существуют ли несоциальные способы взлома пароля без хеш-файла?
Спасибо за вашу помощь.
--Dave
3 ответа
Вы предполагаете, что такой человек имеет доступ ко всей базе данных. Это не всегда так. Они могли наткнуться на страницу, где хеши случайно открыты для пользователей (и, следовательно, не имеют доступа к другим частям БД), или они могли использовать SQL-инъекцию для извлечения определенных данных способом, который ограничен (например, они могли бы выяснить, что ваша таблица пользователей называется users, но не то, что ваша таблица кредитных карт называется lolcats).
Еще одним соображением безопасности являются ваши внутренние ИТ-специалисты. Разработчики с законным доступом к базе данных, как правило, не должны видеть пароли всех пользователей в незашифрованном виде.
Одна из причин заключается в том, что большинство пользователей имеют один и тот же пароль для нескольких учетных записей. Незащищенный пароль означает, что мои учетные записи на других сайтах могут быть скомпрометированы, тем более что электронная почта является общим полем для входа в систему. За счет хэширования паролей, если у сайта украдены их БД, я защищен от взлома моей учетной записи электронной почты одновременно.
Большинство пользователей будут повторно использовать пароли в разных системах. Если злоумышленник проникнет в вашу систему, вы не хотите, чтобы он мог использовать ваши данные для проникновения в учетные записи ваших пользователей на разных сайтах.
Кроме того, если вы шифруете данные с использованием пароля пользователя и сохраняете только хэш пароля, злоумышленник не сможет ничего сделать, даже если он получит всю вашу базу данных, если он не сможет взломать хэши. Обратите внимание, что это сделало бы совершенно невозможным внедрение функции "забытого пароля", если у вас нет способа расшифровать данные, используя ответ безопасности (делая его фактически вторым паролем).