[napoleon]

[rtfm99]

mul 145 aastatuhandet... liiga keeruline vist. mul pole nii pikalt vaja. peab vist nüüd parooli ära vahetama kui sellel lehel testitud.

[napoleon]

[rtfm99]

kirjutage sinna lammasonmaitsev. mis numbrid teile annab? mul 4685 aastatuhandet.

[mTim]

Norm, üks password mida kasutan on 3 sajandit ja teine 9011 MILLENNIA, 8 CENTURIES, 9 DECADES, 1 YEARS, 1 MONTHS, 2 DAYS, 3 HOURS, 39 MINUTES, 36 SECONDS, 64 JIFFIES, 8 MILLISECONDS

suht ok, aga jah. Pigem on fishida või keyloggerdamine mõistlikum, kui jõuga murda

[LKits]

Parooli kohapealt ärge olge nii kindel. Tänapäeva sõnaraamatute skännid suudavad üpris andekalt paroole lahti murda. Asendatakse tähed numbritega, sõnade vahel on numbrid, suured väikesed tähed jne.
Ja kui sõnavara läbi käidud, tehakse ülejäänud sõnadest/tähtedest brute-force.

Piisavalt turvaline on ikkagist 100% random, 16+ tähemärki, suured-väikesed-tähed-numbrid minimaalselt.

Ning jah, kaheastmeline tuvastus.

[napoleon]

[LKits]

[napoleon]

[LKits]

Sa vist ei jaga ise matsu. Ma ju ütlesin, et salt on kasulik ainult selleks, et takistada andmebaaside omavahelist võrdlust.
Get it? Ehk ei saa kasutada pre-made hash andmebaasi selleks, et lahti murda mingit parooli.

BRUTE-FORCE ei ole andmebaaside omavaheline võrdlus! BRUTE FORCE on sõna otseses mõttes iga kombinatsiooni läbiproovimine (ja ka näiteks salt lisamine) ning kindla hashiga võrdlemine.

Sõnaraamat võib kategoriseerida brute force alla, kui seda teha nii, et kõik sõnad (alustades sagedamini järjestuses olevatest) proovitakse teineteisega läbi, s.h erinevad kombinatsioonid, kus asendatakse sõnades olevaid tähti numbritega jms.
EDIT: Ning vajadusel lisada salt.

[The_Boss]

Minu arust mõlemal siin ju õigus See takistab nii andmebaaside omavahel võrdlemist kui ka sama andmebaasi kirjete võrldust, eeldusel, et sool on juhuslik, mitte ühe andmebaasi igal kirjel sama.

Siit ka küsimus. Kas on juhuslik?

[napoleon]

Linuxi /etc/shadow failis on salt juhuslik ja igal kasutajal erinev. Muude lahenduste kohta ei tea

[LKits]

[Renka]

[The_Boss]

[Renka]

salt on random ainult selle genereerimise hetkel. Edaspidi ei saa salt random olla - vaid peab olema 1:1 sama mida kasutati esialgse hashi loomisel.

[LKits]

Kui salt on juhuslik iga kasutaja kohta, siis võrdlusmomendil muutub asi keeruliseks. Salt on selleks, et ei saaks tekitada lihtsa vaevaga globaalset häsh tabelit ning seda siis sinu paroolide tabeliga võrrelda.

Piisavalt turvaline on järgnev:
* Serveri pool globaalne salt;
* Andmebaasis paroolid häshitud järgnevalt: häsh(häsh(kasutajanimi+parool)+salt);

Kliendi poolt:
* Edastatakse parool häsh(kasutajanimi+parool); (javascript saab hakkama)
* Kui JS ei ole võimalik, siis saab ka alati plain-text edastada, aga see tänapäeval pigem erand;

Ehk serverini ei jõua mitte kunagi parool toorel kujul, vaid häshitud kokku kasutajanime ja parooliga.

[napoleon]

[The_Boss]

[LKits]

Salti eesmärk ongi pigem kaitsta teisi (s.h ka teisi paroolide andmebaase), kui pigem ennast.

Ehk, kui sinu parool (võid andmebaas) rändama läheb, siis sellest on vähe kasu, sest isegi, kui häshid selle kokku kasutajanime ja saltiga, siis ei ole tulem võrreldav teiste kirjetega andmebaasis.

[Renka]

[The_Boss]

[napoleon]

[LKits]

Tean, et oleme kõik aru saanud, siiski panen kirja, kuna kirjutasin juba valmis

Ning olen nõus - salt teeb parooli lahtimurdmise kordades keerulisemaks, sest peab iga kord "otsast alustama" ehk häsh tabelit uuesti looma hakkama, ei saa kasutada globaalset tabelit.

Näiteks, järgnev:

salt = "Lj4H9HzymgAaMfJmzmmkDU01";
user1 = "LKits";
pwd1 = "suvalineparool";
user2 = "napoleon";
pwd2 = "suvalineparool";

pwdhash1 = md5(md5(user1+pwd1)+salt)
pwdhash2 = md5(md5(user2+pwd2)+salt)

Ehk:
pwdhash1
md5(LKitssuvalineparool) => 055BA8D1EC956E0AFBC03C283DB4C6C7
md5(055BA8D1EC956E0AFBC03C283DB4C6C7Lj4H9HzymgAaMfJmzmmkDU01) => 8F4780ACA20B3DF80A8CBB33533E2BFA
pwdhash1 = "8F4780ACA20B3DF80A8CBB33533E2BFA"

pwdhash2
md5(napoleonsuvalineparool) => F30B8C61B381F8CEF2CD8B7874212F38
md5(F30B8C61B381F8CEF2CD8B7874212F38Lj4H9HzymgAaMfJmzmmkDU01) => C77A0CDEF8019A1BDFEA10524811C9CE
pwdhash2 = "C77A0CDEF8019A1BDFEA10524811C9CE"

Ehk isegi, kui meil on sama parool ning samas andmebaasis, siis kasutajanime erisuse tõttu on meil lõpptulemuse hash erinev.

Ning sisselogimisel on üpris lihtne - edastatakse kasutajanimi ning md5(user+password) - parool toorel kujul serverini ei jõua.

[napoleon]

LKits, mille vastu see täpselt kaitseb? Ainult keyloggeri vastu vist, Man-in-the-middle rünnaku vastu see meede ei aita, hash murdmise osas on võrdväärne salt-ga.

[The_Boss]

LKits, see teema tuletas kohe seda meelde: https://arstechnica.com/information-technology/2015/09/once-seen-as-bulletproof-11-million-ashley-madison-passwords-already-cracked/

[LKits]

[napoleon]

Huvitav arutelu, moded võiks lilla täpi asemel need postid turvateemasse liigutada.
Aga LKits, mina olen kogu aeg eelduse võtnud, et salt ei ole igal kasutajal sama. Kui saadad frontendist serverisse hashi mis on parool+kasutaja siis ründaja teab seda. ManInTheMiddle rünnaku vastu ei aita see mitte kuidagi, kuna ikka tuleb saata sama hash. Serveri poolelt teab server kasutajat ka. Tegelikult teab ka see mees, kes vahepeal tegutseb kuna sisse logides tuleb ikka kasutaja ka öelda.... või noh, ei tule, aga siis on ainus mille vastu võrrelda see hash, mida ikka saab korduvalt saata.
Pealtkuulamise vastu on pigem SSL, paroolide turvalisuse teemad on mujal.

[LKits]

Turvateema tundub mõistlik - kui vaja, siis kannatan ka lilla ära (hea arutelu on seda väärt).

Aga MITM rünnaku all ma pigem ei mõtle selle konkreetse kasutaja ründamist, vaid pigem tema parooli hashi kasutamist teiste kasutajate peal.
Sest kui edastatakse parool või parooli hash, siis seda annab ju võrrelda teiste paroolide või parooli hashidega.

Aga kui on häshitud kasutajanimi+parool, siis otseselt võrrelda ei saa, vaid peab järjekordselt koostama eraldiseisva hash tabeli. Tänapäeval käib see küll kiirelt, aga siiski lisatakistus.

Ning, kui on oht, et kasutajanimi ja parool on paljudes kohtades kasutusel, siis võib võtta veel ühe parameetri mängu - domeeninimi.
hash(domeen+kasutaja+parool) ehk kui kellegi teisega võrreldes on parool sama, siis hash ei ole sama ning ei saa otseselt võrrelda ning andmebaasist otsida.

EDIT: Ehk näiteks, kui on läinud rändama paroolide andmebaas ning mõnel kasutajal on ka MITM rünnak tehtud, siis parooli hashi edastamisel:

* MITM rünnaku tulemusel saadakse teada hash(parool)
* Andmebaasis on teada globaalne salt;
* Ning MITM rünnaku kasutaja hash andmebaasis hash(hash(parool)+salt)

Nüüd, kui ka mõnel teisel kasutajal on sama parool, siis sealt tuleb see kohe välja.

Kui on aga kasutusel hash(domeen+kasutaja+parool), siis on serverisse edastavav "parool" igal kasutajal unikaalne ning hash tabelis saltiga sidudes ei ühti.
Loomulikult kõikide kasutajate läbi loopimine ei ole hirmus aeganõudev tegevus, kuid siiski lisatakistus.

EDIT2: Ehk kokkuvõtvalt - see kõik on vajalik selleks, et üksikjuhtum ei kahjustaks teisi.
Kui andmebaas läheb rändama, muudetakse globaalne salt ära ning iga kasutaja peab muutma parooli (saadetud e-posti peale mingi link vms).

[strohher]

Proovisin PS4-ga F1 2017 demo. Päris vahva oli, kuid puldiga sõitmine tundub paras peavalu. Samas näen siin korduvalt müügil Playseate ja G27 roole. Käivad käest kätte. Kas sellest võidusõidust tüdineb tegelikult suhteliselt ruttu ära, et peale paari kuud kihutamist asjad järelturule pannakse? Arusaadavalt on huvid erinevad, aga mis see üldine tendenst on? Viskab käbe kopa ette?

[jeesus188]

Mis klaviatuuriga on tegu sellel pildil?

Spoiler

[Winterwind]

https://www.logitech.com/en-us/product/craft

[nexus4]

[jeesus188]

[rtfm99]

[erko]

[jeesus188]

Ilus jne edasi näeb välja, paraku mulle see lihtsalt ei sobi.
K800 vajaks uuendamist

[erko]

Mul ilmselt varsti jääb väga vähe kasutatud Fujitsu LX901 kombo üle. Nordic asetusega. Muidu väga hea klaver ja mugav hiir kuid viimane on veidi ebatäpne just fototöötluse jaoks.

[jägaja]

Noh, maakodumehed, arboristid ja muud metsamehed
Milline hea oksapurusti soovitus teil varrukast tõmmata on ka. Jääks elektriliste purustajate juurde, need bensukad on liiga kallid.

Põhimõtteliselt on kahte tüüpi lõiketeradega neid.

Selline veab ise ette ja purustab vist natuke jämedamaid oksi, kuid väidetavalt ka jämedama fraktsiooniga purustatud tulemus.


Sellise teraga olen kunagi laenutanud, mingi Viking150 vist oli, purustas muidu kenasti, kui tera terav oli, oksi pidi sisse suruma ja kui liiga palju surusid, kiilus oks tera kinni ja pidi lahti masina alati kruttima. (Eelneval teretüübiga masinal on kinnijäämise jaoks ka revers lüliti)

[olavsu1]

mul on siiani kogemused olemas 80mm laia metallifreesiga. 3/4" jämedamate okstega kiilub kinni.

[sakinaga]

Paroolide hashimise kohta: Parooli local hashimine ei oma mõtet. Seda ei arva ma oma peaga, see on praktika suurte internetiettevõtete poolt, näiteks Google ja Facebook.

[napoleon]

[Rasmus]

[LKits]

Lugesin vastused üle ning eeldamine ei ole nõudmine.
Eeldus võib olla ühepoolne ning vägagi erinevalt tõlgendatav.

Minu meelest, kui üks osapool eeldab rääkimist, siis teise osapoole kõige-mitte-rääkimine ei kategoriseeru varjamise alla, kuna esimene osapool, kes rääkimist eeldab, on lihtsalt rumal ning ei saa aru info üleküllusest.

Kas kõikidel inimestel on kohustus esitleda ennast igal pool täpselt selle isikuna, mis on talle määratud (või valitud) riigi poolt? Aliased ei eksisteeri? Saan aru, et identiteedivargus jääb välja.
Lisaks, mille alusel peab teise osapoole nõudmist täitma, kui too nõuab autentset isikut? Mingi õigusakt või volitus riigi(organi) poolt, et on õigus/kohustus teostada isikutuvastus?

[masmre]

Millist käsi tolmuimejat osta arvuti juppide puhastamiseks? Et oleks võimas ja lisa otsikutega.

[Hiid]

tolmuimejat ei kasutatagi selliseks otstarbeks

[bladerunner]

Hiid, jälle sul rohud võtmata et plõksid siin?

[Hiid]

võtsin rohtu
Seda teab ju lapski, et tolmuimejaga raali kallale ei minda

[masmre]

[Killer85]

Suruõhuga puhastad ikka, mitte tolmuimejaga.