MD6 teruggetrokken uit SHA-3 competitie
MD6 zal niet het nieuwe algoritme van de Amerikaanse overheid worden, de ontwikkelaars besloten het algoritme uit de SHA-3 competitie terug te trekken. Het National Institute of Standards and Technology (NIST) kondigde vorig jaar een open wedstrijd voor het ontwikkelen van een nieuw en veilig algoritme voor het genereren van hashes aan. Eerder liet NIST al weten dat SHA-1 per 2010 vervangen moet zijn. De wedstrijd voor SHA-3 zou in 2010 de tweede schifting doorlopen, gevolgd door het uitroepen van de winnaar in 2011. Een uiteindelijke standaard zou dan in 2012 moeten zijn afgerond.
Ron Rivest, crypto-expert en de 'R' in RSA, laat weten dat MD6 nog niet klaar is voor de volgende ronden van de competitie. Het probleem is dat het algoritme niet snel genoeg is. "Dit is een waardige terugtrekking, zoals we van Ron Rivest kunnen verwachten, met name omdat er nog geen aanvallen voor zijn," zegt beveiligingsgoeroe Bruce Schneier. Hij merkt op dat andere algoritmen al ernstig gebroken zijn, maar dat de partijen erachter nog steeds doen alsof niemand dit door heeft.
En denk je dat MD6 minder kraakbaar wordt als het teruggetrokken wordt als de SHA3 kandidaat? Die methoden kunnen dan nog steeds gebruikt worden.
Stel, je moet een 5 seconde druk rekenen voordat de MD6 gegenereerd is, 1 keer inloggen is dan geen probleem, maar als je dit wil brute-forcen kan je client maximaal 30 keys per minuut proberen, en 1800 per uur.
(De server heeft hier geen last van, die hoeft de ingevoerde string alleen te vergelijken met opgeslagen string)
Met die oude algoritmes is het mogelijk om een paar honderd duizend passwords per minuut te genereren.
Per zombie ja.
Maar volgens mij zie ik zat berichten langskomen van 100.000+ zombie netwerken.
En niks hoort langzaam te gaan ;-)
Stel, je moet een 5 seconde druk rekenen voordat de MD6 gegenereerd is, 1 keer inloggen is dan geen probleem, maar als je dit wil brute-forcen kan je client maximaal 30 keys per minuut proberen, en 1800 per uur.
(De server heeft hier geen last van, die hoeft de ingevoerde string alleen te vergelijken met opgeslagen string)
Met die oude algoritmes is het mogelijk om een paar honderd duizend passwords per minuut te genereren.
Want hashes worden alleen maar gebruikt voor wachtwoorden, alle meer real time toepassingen zijn natuurlijk zo 2008......
Stel, je moet een 5 seconde druk rekenen voordat de MD6 gegenereerd is, 1 keer inloggen is dan geen probleem, maar als je dit wil brute-forcen kan je client maximaal 30 keys per minuut proberen, en 1800 per uur.
(De server heeft hier geen last van, die hoeft de ingevoerde string alleen te vergelijken met opgeslagen string)
Met die oude algoritmes is het mogelijk om een paar honderd duizend passwords per minuut te genereren.
Een hashfunctie is 1 van de functies die juist gigantisch snel moet zijn. Een server is namelijk niet alleen maar bezig met jou kleine onzinnige login functietje. Die heeft wel meer te doen. Daarnaast worden hash functies voor veel meer gebruikt. Databases bijvoorbeeld. Als je zoekt naar data en het duurt is 5 seconde voordat je hash is gemaakt komt dit weer bij je query tijd.
Als je zondig wil wachten bij je login zet dan gewoon een sleep neer....
Ruben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
