Názory k článku Libimseti.cz po hacknutí zvyšuje bezpečnost

O tom ze Libimseti.cz je totalni bastl, jehoz zabezpeceni je vic k smichu nez k placi, vedel v oboru kazdy. Nakonec ulozeni hesel jako plain text je totalni zhuverilost, kterou nedela ani uplny amater. Evidetne znalosti bezpecnosti u takoveho systemu se autorum hrube nedostavaji.

Proč použili MD5 fakt nechápu, a navíc asi i bez saltu. Kdo chce kam...

Pardon, nejak mi utekla cestina, melo to samozrejme byt "...nebo se v diskusi budou dal vyskytovat vykriky do tmy...

ziadna mnou pouzivana sluzba uvedeny hash nevie "cracknut". Kombinacia male pismena + cislice bola prehladana tiez. Mozem poprosit o plaintext, nech si to viem overit?

jiste, napisu ho sem navecer, chci dat sanci taky nekomu jinemu, pokud by to chtel zkusit.

Ale diky za potvrzeni, ze to neni tak trivialni jak to na prvni pohled vypada (a jak to je v diskusich prezentovano)

zaujima ma hlavne ta kombinacia male pismena + cislice (8znakov). Som na to tiez zvedavy, 90+% hesiel som zatial bol schopny najst prostrednictvom sluzieb, ktore na to pouzivam.

Ach jo, dalsi. Pokud do "neni problem", prosim o plaintext k hashi ktery jsem uvedl ve vlakne "Mno..."

Plaintext je to jednoduchy (schvalne), takze by to opravdu nemel byt problem.

Cleartextová hesla jsou obecně bezpečnější. Tipněte si proč :-)

Nvim no, ale kdyz uz ziskam tu hash, tak asi nebude problem ziskat i ostatni veci, za predpokladu, ze ta hash nebude nejak snadno ziskatelna...

Ohledne te hashe, tak sice existuji algoritmy na dekodovani, ale pravdepodobnost, ze se dopracujete k puvodnimu heslu je asi takova jako, ze zjistite co mam ulozeno ve treti slozce z vrchu na druhem oddilu disku v druhem radici meho pocitace, ktery neni pripojen na zadnou sit :)

Takze jedinou moznost ziskani puvodniho hesla z hashe bych videl na ty seznamy hashu, kde ale "ceskych" hesel povetsinu nebejva, takze zas az tak zhavy to nebude a pokud si da nekdo prihlasovaci udaje user: martina, heslo: martina1 tak tj jeho dmnce...

Diky, uz jsem je implementoval a pouzivam je prakticky od jejich vzniku. Prave diky tomu, ze se v oboru vyznam, mi vadi nesmysly typu "to neni problem" nebo "to je otazka sekundy", ktere se objevuji v diskusich od lidi kteri nekde cetli "ze to jde".

Je hrozne jednoduhe tvrdit, ze libimseti.cz jsou blbci, protoze implementovali MD5. Horsi je praxe. Ono mezi tvrzenim z vyzkumu "MD5 se da prolomit" a jendoduchym uzitim je jeste dlouha cesta.

Jirka

P.S. Mam k dispozici Rainbow Tables o velikosti nekolik desitek GB a presto bych se neodvazil tvrdit ze zjisteni hesla je trivialni. To jenom tak na okraj.

Už to heslo vim našla mi ho jedna stránka... zadal jsem hash a odešel na kafe:-) přišel jsem a nasalo mi to heslo,,,, chceš ho říct nobo mam nechat ještě šanci pro někoho?

sakra už to tay někdo napsal:-)

http://www.milw0rm.com/cracker/list.php

já to zadal sem a neznalo to.. ale cracknulo to do hodiny...

Ehm, lze najit dva nestejne vstupni cleartexty, ktere povedou ke stejne MD5. Porad jeste neni (v rozumnem case) mozne k nejakemu konkretnimu MD5 hashi najit odpovidajici "alternativni" cleartext".

Tvrzeni "lze se s nim prihlasit" je trochu silne, protoze onen "nahradni" cleartext bude zrejme nejaky binarni sum tezko predpokladane delky, takze je mala sance ze by prolezl vstupnim formularem pro heslo. Ale to uz jsem trochu moc hnidopich, neberte to prosim ve zlem.

Howgh

Jirka

nj já to říkám už dlouho .. libko je děravé jak cedník xD a evidentně jejich programátoři sou na baterky, které ovšem sou vybité xD ..např.nechápu proč udělali nový vyhledávací řádek navrchu, místo toho aby se starali o bezpečnost xD

A ty opravdu věříš, že někdo, kdo dneska (nebo 2 roky zpátky) udělá hashe v md5, udělá aspoň salt? Kdyby tomu rozuměl, tak md5 nikdy nepoužije. A protože tomu evidntně nerozumí, použil md5 a něco jako salt je pro něj sprostý slovo leda.

Ukládám hesla do DB zpracované MD5 se saltem. String pro zadávání hesla je max. 20 znaků. Co je na tom blbě?

Ja bych na to take nespolehal, jenom jsem reagoval na "...kolizni heslo (tedy takove, ktere ma stejnou MD5ku a jde se s nim tedy prihlasit)".

Aby bylo jasno, ja si take myslim ze meli pouzit SHA[12] nebo alespon salt k MD5. V te diskusi jsem se jenom chtel trochu uklidnit ty, kteri hlasali ze "pouziti MD5 neni oproti cleartextu zvyseni bezpecnosti". Zvyseni to je, a vyrazne. Ale melo byt zvoleno lepsi reseni, v tom se shodujeme.

Vubec nic, pokud nejde o hesla slouzici k prisupu k informacim nejvyssi citlivosti nebo utajeni.

Neco na odlehceni: http://xkcd.com/538/

Protože se dají použít pro protokoly typu challenge-response, narozdíl od hashovaných hesel, kde to heslo jde sítí.

Souhlasim, taky myslim, ze Michaluv prispevek byl dost mimo. Navic je porad mozne, ze ten salt pouzivaji.

Říká se dvakrát měř jednou řež, zkuste nad tím zauvažovat. Odsoudit někoho rychle umí každý.

Když neděláte sám na sebe tak vám práci někdo přiděluje. A bohužel to dost často znamená že víte že se má něco opravit ale ve svém volnu to dělat nebudete. V případě normální aplikace je to samozřejmě otázka na pět minut, jenže pokud to stavěl na koleně někdo kdo ani nevěděl že má hashovat hesla tak ten kód bude nejspíš takovej ten klasickej štrůdl kde občas je něco funkce a jinak nic. Opravovat něco v bastlech je vždycky peklo, zvlášť když jsou cizí :D

plny souhlas s celym textem :)

Ach jo, dneska jsem hnidopich kralovsky :(

Ten hash se neda pouzit pro challenge-response? Proc? Kdyz uz ten klient (a ktery klient na beznem webu standardne umi C-R?) umi challenge-response, muze pro vstup stejne dobre pouzit hash z cleartextu jako samotny cleartext.

zajímavě a pravdivě napsáno.. souhlasím :-) holt většina jenom záwidí úspěšný web a umí jenom kritizovat, kritizovat ovšem umí každý ale udělat něco co funguje a má dobrou návštěvnost(když se jedná o web) tak to už každý neumí
.. a nejvíc mě štvou anonymové v diskuzích, to by měli zakázat.. sice je krawina kvůli jednomu názoru se registrovat na dalším serveru, ale i pro neregistrované je možnost podepsat se :-)

Ne, hash se pro challenge-response použít nedá, protože v tom případě je to cleartext, který vznikl jako výsledek nějaké hashovací funkce. (útočník už nemusí nic dělat).

Obávám se, že si ne zcela rozumíme. Challenge-response funguje takto:

S: posílám ti random
C: ok, má odpověď je O=F(heslo_C,random)
S: kontroluji jestli F(heslo_S, random) = O

Útočník potřebuje znát heslo_S a je mu celkem jedno, jestli heslo_S=MD5(plaintext) nebo heslo_S=plaintext
Nějak moc nechápu, co s tím má dělat solení nebo nesolení.

Utocnik jako nekdo kdo posloucha sitovy provoz, nebo utocnik ktery ma pristup k tomu zdrojovemu/cilovemu stroji?

V prvnim pripade by ten hash nesel po siti (jde preci o challenge response, jenom s jinym vstupem), stejne jako by tam neslo originalni heslo.

Ve druhem pripade neresime challenge-response a zase jsme u toho jestli je lepsi ukladat cleartext nebo hash :)

Dekuji ti nacelniku, ze jsi se mne zastal ;-)

Digest autentizace v HTTP má dvě soli – jednu pro server a druhou pro spojení. Ta pro server zajistí, že když se někomu podaří ukrást uložený hash z jednoho serveru, nemůže jej použít místo hesla na jiném. Ta druhá pak samozřejmě brání proti odposlechu ze sítě. Přičemž ta první sůl (serverová) je to, co vám prohlížeč zobrazí v dialogu pro zadání hesla (alespoň FF to tak dělá).

Jiná věc je, že drtivá většina implementací je univerzální (i pro Basic autentizaci nebo přihlášení formulářem), takže heslo na serveru stejně ukládá v plaintextu (i když stačí jen hash osoleného hesla).

Je to dobry protiargument, ale neni hlavni. Hlavni protiargument je to v cem se neshodujeme, ale abych se neopakoval, odkazu na druhy odstavec toho clanku na security-portal.cz, tam je to popsane taky.

Kazdopadne tahle diskuse uz nikam nevede, myslim ze se shodneme v tom co je spravne a co spatne. Jenom se lisime v tom, co je vlastne ten bezpecnostni problem, ale zivot na tom nezavisi ;-)

Preju pekny vecer.

Při challenge-response se nic jiného než cleartext používat nedá.

O dva komentáře výš máte napsáno, jak to HTTP Digest autentizace dělá, že cleartext hesla nepotřebuje a přesto je to challenge-response. Stačí jen osolit/opepřit dvakrát.

Ano, je to challenge-response, nicméně to heslo tam slouží jako cleartext, nikoliv jako hash, ačkoliv je hashováno.

Ano, útočník nezná původní heslo před hashem, ale to mu může být úplně jedno, protože on si vystačí s tím hashem. Prostě když ukradne MD5(username:realm:password), tak to vyjde nastejno, jako by ukradl username:realm:password.

Nevyjde to nastejno. To heslo nemůže použít na jiném serveru. Že ho může použít na tom zkompromitovaném serveru je celkem jedno – tomu nelze nijak zabránit.

Kdyby teď někdo znovu Libimseti napadl a získal z databáze nesolené hashe, bude muset provozovatel při další vynucené změně hesla kontrolovat, zda uživatel nezadal znova to samé heslo. Kdyby používali hash se solí, stačí změnit sůl a uživatel si klidně může zadat znovu to samé heslo.

Jenže vám pravděpodobně nedochází, že ta "plejáda postupů" funguje na MD5 stejně jako na SHA-cokoli, stejně jako na jakoukoli hashovaci funkci. Ten útok na kolize zase nejde použít proto, že z podstaty toho útoku musí být veden tím, kdo generuje ta hashovaná data (což je v tomto případě uživatel, který heslo tak jak tak zná).

Takže podepisovat (resp. věřit podpisu) MD5 cizího dokumentu je o hubu (to samé platí pro různé MD5 checksumy stažených souborů atd.), ale na MD5 hashovaném hesle nic není.

Nějaký hesla jsou asi většině uživatelů ukradený (teď asi ještě ne doslova :-) ) ale spíš je smutný, že když se začnou čísla online uživatelů zvedat nat nějakých 150000 tak "libko" nejprve zpomalí a potom prostě bílá prázdná stránka nebo "503" (ale na rozdíl od evropské knihovny se probere mnohem rychleji - až to přestane uživatele bavit civět a refreshovat neodpovídající stránky)

těžko, když se bavíme o něčem jiném :-)

Aha, takže SHA* je bezpečnější, protože je větší, pomalejší a méně rozšířená. No když si to myslíte...

Napadlo vás třeba, že když je hesel dejme tomu 2^60, tak cracker může vcelku s klidem i SHA512 oříznout na dejme tomu 160 bitů a ten prostor ušetřit? Stejně si myslím, že tato diskuze je v době botnetů a terabytových disků tak nějak o hovnu. Pokud je heslo slabé, a cracker k němu dostane hash (a přepokládám taky sůl, je-li), tak to heslo dříve či později zjistí, nezávisle na hashovací funkci i (ne)solení.

to že má líbko dobrý marketing moc nesouvisí s tím, že je technicky napikaču a používat špatnou službu jenom proto že je česká je podle mně hloupé
jinak pokud vím, tak ty miliony uživatelů, které má Facebook nebo LastFM byly vytvořeny také bez pomoci seznamu

Ten komix je dobrý. Není nad to najít jednoduché a levné řešení. :-)

Použitelné (symetrické) kryptografické metody jsou v obou případech stejné, protože jako „heslo“ do nich vždy vstupuje to, co je uložené na serveru – ať je to otevřené heslo nebo hash.

Tak to si chudáci kryptologové protokoly typu ch-r asi vymýšleli zbytečně, když jsou úplně stejné jako ostatní metody, kde heslo chodí otevřeně po síti...

Nikoliv běhěm jedné, ale asi během 10 kliksekund.

1. Google: md5 cracker

2. prvních 5 odkazů, něco z toho jsou přímo on-line databáze, něco články s odkazy na další on-line databáze

3. několik on-line databází do záložek, do každé zkopírovat hash

4. řešení zná jedna: http://www.milw0rm.com/cracker/inserted.php

5. je to jirka474

Když má někdo server s dostatečným výkonem a dostatek času, tak si ty hashe ke všem krátkým vstupům klidně vygeneruje.

Používat na různých serverech stejné heslo je blbost.

Což ale neříká nic o tom, zda se tak děje nebo neděje. Kdyby se tak nedělo, neřeší se přidání soli k heslu v unixech a neřeší se to ani v této diskuzi. Jak ale padlo i v této diskuzi, pro relativně jednoduchá hesla už existují databáze neosolených hashů, takže není potřeba nic louskat, stačí vyhledávat.

To, čemu ty říkáš hash je pro ch-r pouze cleartext (tak jak to chápe kryptografie).

Pak ale musí být na serveru cleartext vždy, když se nepoužívá asymetrická kryptografie. Tu můžete dnes na webu rozumně použít jen při HTTPS autentizaci klientským certifikátem. Pochybuju o tom, že generovat žádosti o certifikát a přenášet certifikáty na počítače, které práv+ě používají, je to, co chtějí uživatelé Líbimseti

Změnit to, čemu ty říkáš sůl a je to realm, není možné, protože to by se potom neautentizoval nikdo, protože by měli všichni neplatná hesla.

Stačí jednoduchý trik – starým a novým heslem se přihlašovat na dvě různé adresy.

Pak ale musí být na serveru cleartext vždy, když se nepoužívá asymetrická kryptografie

Ne, používají se ty hashe, a sůl se používá ke zvětšení prostoru, aby případné rainbow tables byly natolik velké, že je získání hesla nerealizovatelné. Pokud se ovšem použije cleartext, tak použitelné kryptografické metody jsou bezpečnější než když se uloží pouze hash.

Stačí jednoduchý trik – starým a novým heslem se přihlašovat na dvě různé adresy.

To byl jenom vysvětlení toho, že to, čemu říkáš sůl není sůl ;-)

Ne, používají se ty hashe, a sůl se používá ke zvětšení prostoru, aby případné rainbow tables byly natolik velké, že je získání hesla nerealizovatelné. Pokud se ovšem použije cleartext, tak použitelné kryptografické metody jsou bezpečnější než když se uloží pouze hash.

Pokud se nepoužívá asymetrická kryptografie, je vždy to, co je uložené na straně serveru, v roli cleartextu – tedy pokud zjistím, co je na serveru uložené, mohu to použít pro přihlášení. Jediný rozdíl mezi hashem a cleartextem je ten, zda informace získané na serveru můžu použít někde jinde – hesla v otevřeném tvaru ano, hashe ne (pokud je nedokážu snadno – třeba hledáním v tabulce – převést na původní heslo). Použitelné (symetrické) kryptografické metody jsou v obou případech stejné, protože jako „heslo“ do nich vždy vstupuje to, co je uložené na serveru – ať je to otevřené heslo nebo hash.

To byl jenom vysvětlení toho, že to, čemu říkáš sůl není sůl

Sůl/salt je cokoliv, co se před hashováním přidá k heslu, aby se zabránilo odhalení hesla tím způsobem, že hash bude stejný jako u jiného hesla, které znám i v otevřeném tvaru. V HTTP digest autentizaci tedy plní roli soli jméno a realm – díky jménu budou mít dva uživatelé na stejném serveru se stejným heslem jiný hash, díky realm budou mít dva uživatelé na různých serverech (s různým realm) se stejným jménem a heslem různý hash.

Pro protokoly typu ch–r nepotřebujete znát otevřené heslo. To, co do protokolu (při použití symetrické kryptografie) vstupuje na straně serveru je ekvivalent otevřeného hesla pro ten daný server (pro daný realm) – a to nejde žádným způsob změnit. Ale to ještě neznamená, že ten údaj na straně serveru musí být ekvivalentní otevřenému heslu i pro jiné servery – pokud se použije hash se solí, uplatníte ten hash jen na tom jediném serveru.

Já myslím, že už to nemá cenu dál rozpitvávat, evidentně se neshodneme.

Facebook je neanonymni komunitni sluzba, Libimseti je defacto seznamka pro decka. Kazdy si vybere, co zrovna potrebuje. Vidim to tak, ze nactileti budou na libimseti a lide po dvacitce se potom budou presouvat na facebook.

hesla v cleartextu... chacha. Amatéři.

dobrý den proč mám furt bany když nic nedělám n líbku i když jsem měl ss a odebali miho

Kazdy se zde anonymne chvasta, jak je Libimseti spatne.

Neni to jenom typicka ceska vlastnost?

Libimseti je jeden z mala projektu na mistnim netu, ktery se v komunitach dostal na vrchol, dokaze udrzet lidi i v offline svete (disco akce, vlastni klub, kina, koncerty, proma na skolach). ...

Denne na libimseti prijde vice lidi, nez-li na atlas, blesk a jine projekty.

Z puvodniho jednoho cloveka (programatora a skveleho 'komunitniho maga') se podarilo firmu pretransformovat na akciovou spolecnost se slusnym zpusobem rizeni, velmi peknym ziskem.

Majitel se nebal, venoval podil nejlepsimu i-obchodnikovi v CR, cimz se dostal z ligy 'obcas reklama' do kategorie ' cocacola, vodafone, o2, aukro, ...'.

Na webu inzeruji stejne spolecnosti, jako na iDnes, Seznamu nebo v TV.

Proc zde nikdo neuvadi, ze Libimseti pomohlo k nemalemu mnozstvi manzelstvi, deti (i nechtenych), udrzuje mnohdy jiz rozpadle kontakty mezi spoluzaky,kamarady z nejruznejsich akci.

Libimseti se podarilo, to co nikomu jinemu v komunitach - bez pozadi Seznamu vybudovat fungujici firmu, se stabilni navstevnosti.

Na blogach se pise, ze je Libimseti na prodej za desitky a stovky mil. Fajn. Ale to je dobre, ne? Neni to ona odmena za mnoho dlouhych let tvrde prace nejen vedeni, ale vsech, co v Libimseti pracuji?

A neni trochu jedno, jestli je heslo v md5, md6 nebo v plaintextu? (z pohledu projektu, nikoliv z pohledu uniku dat).

Cimz je projekt vetsi, tim ma vice 'odpurcu', kteri se nedokazou podepsat.

Pokud by se stejna skupina lidi, jako zde pod clankem sesla v jendom sale, malokdo by si dovolil podobne komentare - spise by 'nevericne koukal' kolik kvalitni prace za Libimseti je.

Libimseti bylo za svou existenci nejednou 'na hrane' existence, nejen finance - ale vzdy se jej podarilo vedeni dostat do fungujiciho stavu.

Musim podotknout, ze nejsem zamestnancem ani majitelem Libimseti, lec bych vubec nebyl proti :-)

Mimochodem, jake weby patri do TOP3 dle netmonitoru, dle straveneho denniho casu? ...

Ja netvrdim ze jsou blbci protoze pouzili MD5 (ten at vezme cert), ale blbci jsou proto ze do tedka byla hesla jako plaintext (coz vedelo HODNE lidi) a jsou to blbci protoze (a tech lidi je uz o neco mene) si tam kazdy delal co chtel, admini na to kaslali a samotnej kod libka je slepenice neskutecnych rozmeru. Derava a nepouzitelna.

To ze to ted slavne zaplatuji to prilis nevylepsuje, protoze je to opet jen latani misto poradneho rozstipnuti. Jenze to by musli autori a provozovatele misto do novych reklamnich ploch investovat do vyvoje a odborniku coz se nestane. Takze si zase mistni radoby haxoarska elita bude davat srazi na libku a po sobe mazat logy ;-).

moje tvrdenie o 1kliksekunde vychadzalo z 8 znakov, ktore je naozaj mozne bez pouzitia specialnych znakov "rozlusknut" raz dva.
Predpokladam, ze 870261986fa6a58ac8038e8aa00578d2 nema 8 znakov alebo je pouzity iny znak ako pismena a cislice.

Jak uz jsem psal, zvolil jsem "lehke heslo", tj. je to celkem 8 znaku, pouze mala pismena a cislice. Puvodne jsem mel jen sedm znaku, ale pak jsem si uvedomil ze to je mene nez tec libimseti.cz vyzaduje.

Vysledek me porad zajima. Jak uz jsem taky psal, vyresit to umim, jenom to neumim behem jedne kliksekundy. Proto jzem zvedavy kdo to umi tak rychle a jakou metodu by pouzil.

Jako skeptik k lousknutí MD5 hashe pomocí google jsem zkusil první nalezený web na "louskání" MD5 a rychlozávěr zní:

1) slovníkové slovo nalezeno bylo
2) slovníkové slovo doplněno o číslo nalezeno bylo
3) slovníkové slov, do jehož středu bylo vloženo číslo, nenalezeno
4) směs písmen nenalezena
5) slovníkové slovo s diakritikou nenalezeno

Takže zůstávám skeptikem, co se týče lámání MD5 hashů pomocí google. Teda pokud si lidé nenastaví jako heslo heslo :-)

jirka474

Bezva, diky obema. Co jste pouzili?

Používat na různých serverech stejné heslo je blbost.

To, čemu ty říkáš hash je pro ch-r pouze cleartext (tak jak to chápe kryptografie). Otázka: $1$abcdefgh$irWbblnpmw.5z7wgBnprh0 je hash nebo cleartext heslo?

Změnit to, čemu ty říkáš sůl a je to realm, není možné, protože to by se potom neautentizoval nikdo, protože by měli všichni neplatná hesla.

to jsou jen dohady s tema heslama, budme radi, ze pro zabezpeceni neco delaji...diky martina

Sudruhovia z Libimseti.cz nechapu, ze md5 hash je mozne najst prostrednictvom google v priebehu 1 klik sekundy. Pouzivat nesaltovane md5 je rovnaka stupidnost ako pouzivat plain text.
Uplne super je, ze naprosta vacsina uzivatelov si vytvori hesla vo formate jarda/jarda111 pripadne jarda/jarda123

Ale to taky ukazuje, že lama vytvořila původní kód, a dneska ho upravuje... další lama (která se evidentně o bezpečnost vůbec nezajímá, resp. nezná ani naprostý základy).

lol... MD5hash na webu se nepoužíval? dyť je to dneska snad na všech php stránkách.. skorot všechny redakční systémy ho využívaj,,, ale stejně...nic není dokonalý i z md5hashe se dá zjistit heslo.. Oficiálně se říká "že to prej nejde" ale mam s tim jiný zkušenosti... jedna ruská stránka to zvládá ouplně v pohodě :-D njn nic není dokonalý..

každopádně ty lidi co si choulostivý fotky uploadujou na web, tak si o to říkaj,,, aby jejch fotky viděl svět:-) já bych takový fota nenechával ani ve svým pc natož někde na serveru...

Existuji cele seznamy MD5 hashu a najit tu pravou neni zase takovy problem.

dyť jo... tuhle je jen jehla v kupce sena,, pamatuju si že na jednom webu se jeden típek pišnil,, že ti sežene jakýkoliv heslo od líbimseti.. a lidi mu ta psali profily a on fakt ty hesla scháněl... ale tu stránku už nevim jak na ní bya adresa :)

Kdyby to bylo nějak implementačně náročné tak neřeknu, ale ono je to NAPROSTO stejně jednoduché na naprogramování.

Při ztrátě hesla prostě pošlete uživateli nově vygenerované heslo nebo rovnou jedinečný odkaz pro zadání hesla nového, to vyjde asi tak na jeden řádek kódu navíc v prvním případě a na dva řádky ve druhém.

Sice souhlasim, ze by rozhodne mel byt pouzity salt, ale placnuti do do vody o nalezeni HD5 hash behem jedne klik sekundy me rozesmalo (predpokladam, ze se mluvi o rozlousknuti hashe).

Pokud je to pravda, ocenil bych praktickou ukazku. Hash k rozlouskuti je: 870261986fa6a58ac8038e8aa00578d2

Diky

Jirka

P.S. ja ho rozlouskout umim, ale ne behem jedne "klik sekundy" a za pomoci Google. Proto se ptam na tu ukazku.

Jiste. Uz druhy clovek tvrdi ze to neni problem. Rad bych to videl v praxi, hash k rozlousknuti jsem nabidnul.

Schvalne jsem zvolil "jednoduche heslo", ktere by se na libimseti.cz klidne mohlo vyskytnout. Resitelne to je, ale zajimalo by mne jestli to nekdo prakticky dokaze, nebo se v diskusi vyskytnout vykriky do tmy typu "MD5 je k nicemu".

Saltovane MD5 je lepsi nez "hole" MD5. Ale i hole MD5 je vyrazny prosun kupredu od hesel v citelne podobe, ktere melo libimseti doted.

stejně všechny ty líbka a podobné pidislužbičky spolkne Facebook, tak to už možná nemá cenu předělávat, konec je nablízku...