הצפנה - קבצי htpasswd

[immortalus]

הצפנה - קבצי htpasswd

שלום, בשרתים מבוססי יוניקס אפשר לשים הגנה מיוחדת על תקיות באתר האינטרנט שנקראת Basic Authentication. ההגנה הזו היא לא איזה קוד שמכניסים לסקריפטים של PHP/CGI אלא הגנה שמובנית בתוך השרת עצמו. הגנה זו מתבצעת ע"י שילוב של קובץ htaccess שמכיל את ההגדרות וקובץ htpasswd שמכיל את הסיסמאות. אני יודע שהסיסמאות בקובץ ה-htpasswd מוצפנות באיזו שיטה, אני רק לא בטוח איזו - ופה השאלה שלי: 1) באיזו שיטת קידוד הקבצים הנ"ל מוצפנים (מצאתי ברשת משהו בשם crypt3, אשמח להבהרות) 2) מצאתי במגוון מקומות ברשת שניתן לתרגם את הסיסמאות הללו בחזרה, במיוחד בשרתי apache, למישהו יש מושג איך עושים את זה (לא למטרות זדוניות, זה אתגר רשת). * לפני כתיבת ההודעה בזבזתי בין שעה וחצי לשעתיים של חיפוש ברשת, אבל לא מצאתי תוצאות מועילות.. אשמח לעזרה... תודה מראש,

 

[vinney]

ת'אמת

זאת לא שאלה לפורום הזה, אבל אני לא חושב שבבוני אתרים יוכלו לענות לך, שווה לנסות. עוד אופציה זה פורום לינוקס. השיטות והצפנים שמשתמשים בהם משתנות ממערכת למערכת (זאת הסיבה שכל האקר מתחיל קודם כל מברר מהי המערכת הרצה באתר אותו הוא מתקיף, כולל מערכת ההפעלה וספריות ההצפנה, וזאת גם הסיבה שבפרוטוקולים חדשים, לא מגלים מידע על המערכת לפני ביצוע האימות). לגבי פריצה - מדובר בצופן סימטרי כלשהו, ולכל צופן סימטרי יש את שיטות הפריצה שלו (יש כאלה שדף ועת וחמש דקות זמן זה מספיק, ויש כאלה שצריך מחשב עם 50 מעבדים ושלושה חודשים לפרוץ, ויש כאלה שגם זה לא יספיק

). לגבי crypt3, ממה שגיגלתי מדובר באפליקציה מקית להצפנה של קבצים, יכול להיות שיש להם גם DLL כללי בשם הזה, לא יודע. אגב, לפי מה שכתוב באינטרנט - יש להם באג באפליקציה (או hack?). הצופן שהם משתמשים בו (blowfish) נחשב לטוב ומהיר, וכמה שזכור לי לא ממש נפרץ בינתיים (אם כי אני מניח שיש לעדי שמיר כמה דוקטורנטים ששוקדים על זה ברגעים אלו ממש

). הוא מאפשר מפתחות בגדלים שונים, ואם מישהו משתמש בו לא נכון - אפשר לפרוץ את ההצפנה בעזרת מתקפת brute force, מה שיותר קשה עם AES למשל, או 3DES.