Hacknite Wiki

User Tools

Site Tools

Trace: • local_file_inclusion • sql_injection • file_upload • baze_i_datoteke • ret2libc • linux • radare2_practical
hash

Differences

This shows you the differences between two versions of the page.

Link to this comparison view

Both sides previous revisionPrevious revision
Next revision		Previous revision
hash [2023/11/21 12:46] – zrinkahash [2025/12/01 11:40] (current) – external edit 127.0.0.1
Line 5: Line 5:
  
 **1) Otpornost na izračunavanje originala ili prva domenska otpornost** //(preimage resistance)//\\ **1) Otpornost na izračunavanje originala ili prva domenska otpornost** //(preimage resistance)//\\
- H=h(M)  M=h<sup>-1</sup>(H) ne postoji+ Ne postoji funkcija koja za dani sažetak može proizvesti originalnu poruku.
  
 **2) Otpornost na izračunavanje poruke koja daje isti sažetak ili druga domenska otpornost** //(2nd  preimage resistance)//\\ **2) Otpornost na izračunavanje poruke koja daje isti sažetak ili druga domenska otpornost** //(2nd  preimage resistance)//\\
Line 11: Line 11:
  
 **3) Otpornost na kolizije** (//collision resistance//)\\ **3) Otpornost na kolizije** (//collision resistance//)\\
-Nemoguće je pronaći bilo koje dvije poruke M<sub>1</sub> i M<sub>2</sub> za koje se dobiva isti sažetak. h(M<sub>1</sub>)=h(M<sub>2</sub>)+Nemoguće je pronaći bilo koje dvije poruke M<sub>1</sub> i M<sub>2</sub> za koje se dobiva isti sažetak (//hash//). h(M<sub>1</sub>)=h(M<sub>2</sub>)
  
 **4) Difuzija**\\ **4) Difuzija**\\
Line 18: Line 18:
 Hash funkcije osiguravaju integritet, sigurnost i efikasnost u verifikaciji digitalnih podataka i osiguravanju digitalne komunikacije. Koriste se u provjerama integriteta kako bismo znali da poruka nije izmijenjena, sigurnijoj pohrani lozinki (umjesto u jasnom tekstu, lozinka se prije pohrane u bazu provuče kroz neku hash funkciju), autentifikaciji [[https://www.cert.hr/wp-content/uploads/2019/04/CCERT-PUBDOC-2007-02-182.pdf|digitalnih potpisa]] i u blockchainu kriptovaluta. Hash funkcije osiguravaju integritet, sigurnost i efikasnost u verifikaciji digitalnih podataka i osiguravanju digitalne komunikacije. Koriste se u provjerama integriteta kako bismo znali da poruka nije izmijenjena, sigurnijoj pohrani lozinki (umjesto u jasnom tekstu, lozinka se prije pohrane u bazu provuče kroz neku hash funkciju), autentifikaciji [[https://www.cert.hr/wp-content/uploads/2019/04/CCERT-PUBDOC-2007-02-182.pdf|digitalnih potpisa]] i u blockchainu kriptovaluta.
  
-Neke od poznatijih hash funkcija su [[md5|MD5]], [[sha1|SHA]], [[sha2|SHA]] i [[sha3|SHA]].+Neke od poznatijih hash funkcija su [[md5|MD5]], [[sha|SHA-1]], [[sha|SHA-2]] i [[sha|SHA-3]].
  
 Jedan je od osnovnih napada na hash funkcije tzv. **rođendanski napad**. Rođendanski napad temelji se na statističkoj anomaliji rođendanskog problema. Vjerojatnost da dvije osobe u dvorani u kojoj je ukupno 1.2 x 365/2 = 23 ljudi imaju isti dan rođendan veća je od 50%. Isto tako, vjerojatnost da dvije poruke iz skupa od k=1.2 (2n )1/2 = 1.2x2n/2 poruka daju isti sažetak veća je od 50%, gdje je n duljina sažetka u bitovima. Jedan je od osnovnih napada na hash funkcije tzv. **rođendanski napad**. Rođendanski napad temelji se na statističkoj anomaliji rođendanskog problema. Vjerojatnost da dvije osobe u dvorani u kojoj je ukupno 1.2 x 365/2 = 23 ljudi imaju isti dan rođendan veća je od 50%. Isto tako, vjerojatnost da dvije poruke iz skupa od k=1.2 (2n )1/2 = 1.2x2n/2 poruka daju isti sažetak veća je od 50%, gdje je n duljina sažetka u bitovima.
  
-Još je jedan od zanimljivih napada na hashirane podatke tzv. **Rainbow table napad**. Svoj naziv duguje šarenoj tablici unaprijed izračunatih sažetaka najčešćih lozinki. Cilj je napada dobiti lozinke spremljene u bazi podataka. Napadač uspoređuje unaprijed izračunate sažetke jedan po jedan sa sažetcima spremljenim u bazi podataka sve dok ne nađe poklapanje. Nakon što ga pronađe, lako može doći i do ostatka lozinki u istoj bazi. Ovakav napad može se spriječiti korištenjem tzv. //salta// – slučajnih podataka koji se nadodaju na ulazne tijekom sažimanja.+Još je jedan od zanimljivih napada na hashirane podatke tzv. **Rainbow table napad**. U takvom napadu napadač uspoređuje hashirane lozinke s unaprijed izračunatom tablicom sažetaka. Napadač uspoređuje unaprijed izračunate sažetke jedan po jedan sa sažetcima spremljenim u bazi podataka sve dok ne nađe poklapanje. \\ \\ 
 +Rođendanski napad može se spriječiti konstrukcijom dobre hash funkcije. Funkcija mora biti takva da se ne mogu u razumnom vremenu naći dva ulaza koji će rezultirati istim sažetkom. To se može postići tako da hash funkcija daje dug izlaz. Nemoguće je napraviti hash funkciju koja će za  apsolutno svaki ulaz dati različit izlaz jer je prostor mogućih ulaza beskonačan, a duljina sažetka ograničena. Rainbow table napad sprečava se korištenjem tzv. //salt hashinga//.  
 + 
 +===Salt hashing=== 
 +**Salt hashing** je metoda koja se koristi za hashiranje osjetljivih podataka, primjerice lozinki. Podatku se prije ubacivanja u funkciju sažetka dodaje još jedan nasumično generiran podatak (//salt//). Dodavanje ide najčešće na kraj (//append//) ili na početak (//prepend//), ali može ići na bilo koje mjesto. Nakon toga se u bazu podataka zapišu korisničko ime, sažetak lozinke zajedno sa //saltom// i sam //salt//. Kad se korisnik želi ulogirati u sustav i upiše lozinku, njoj se dodaje onaj //salt// koji je zapisan pored tog korisnika u bazi podataka i provjerava se odgovara li hash lozinke i //salta// zajedno onom hashu koji je zapisan u bazi. Na taj se način otežava napadaču da otkrije lozinku korisnika jer ne može koristiti unaprijed pripremljenu tablicu sažetaka. 
 + 
 +Iako se na prvi pogled može činiti problematičnim što je //salt// zapisan u jasnom tekstu pored korisnika, treba uzeti u obzir da funkcije sažetka nemaju inverznu funkciju, odnosno nema načina kojim se može iz sažetka izravno dobiti original. Napadač baze podataka možda i vidi koji je //salt// iskorišten u generiranju sažetka, no ne može ga nikako eliminirati iz rezultata i izvući samo lozinku korisnika. Može eventualno dodavati taj //salt// na svaki svoj unos i nadati se da će pogoditi funkciju sažimanja koja je korištena. Nije nemoguće, ali se značajno produljuje vrijeme pretrage u odnosu na dosadašnje metode sažimanja, stoga se ova metoda smatra vrlo dobrom praksom i sve se češće koristi.
  
 ===Izvori=== ===Izvori===
Line 29: Line 35:
 [3] Kriptografija i kriptoanaliza, predavanja, FER\\ [3] Kriptografija i kriptoanaliza, predavanja, FER\\
 [4] Budin, L.; Golub, M; Jakobović, D., Jelenković, L (2010.) (2013.), Operacijski sustavi, Element, Zagreb\\ [4] Budin, L.; Golub, M; Jakobović, D., Jelenković, L (2010.) (2013.), Operacijski sustavi, Element, Zagreb\\
-[5]https://www.cert.hr/wp-content/uploads/2019/04/CCERT-PUBDOC-2007-02-182.pdf +[5] https://www.cert.hr/wp-content/uploads/2019/04/CCERT-PUBDOC-2007-02-182.pdf\\ 
 +[6] https://auth0.com/blog/adding-salt-to-hashing-a-better-way-to-store-passwords/\\
hash.1700570782.txt.gz · Last modified: 2025/12/01 11:40 (external edit)
Donate Powered by PHP Valid HTML5 Valid CSS Driven by DokuWiki