Kriptiranje zaporke by Tony https://padlet.com/tonykukec/kriptiranje Pri unosu zaporke za web stranice, ona mora biti sigurno prenesena u server i pohranjena na način da ju nitko ne može pročitati. Tu se koristi kriptiranje i hashing. en-us 2020-11-23 15:39:50 UTC 2024-05-26 20:53:55 UTC hello@padlet.com https://padlet.net/icons/png/1f510.png Unos zaporke na web stranicama tonykukec https://padlet.com/tonykukec/kriptiranje/wish/952806013 Jeste li ikada kreirali račun za e-poštu, forum ili bilo koju drugu web stranicu? Ako jeste, vjerojatno ste morali unijeti zaporku.

U ovom Padletu ću vam objasniti kako su te zaporke spremljene i što se točno događa u računalu kada kliknete "Log in"]]> 2020-11-23 15:45:12 UTC https://padlet.com/tonykukec/kriptiranje/wish/952806013 Što se događa s vašom zaporkom? tonykukec https://padlet.com/tonykukec/kriptiranje/wish/952823764 Nakon što ste kreirali račun i odabrali zaporku, a zaporka je zatim bila spremljena na serveru web stranice. Kada se sljedeći put probate ulogirati, taj server će usporediti unesenu zaporku s onom koju ima spremljenu, te će vas ulogirati ako su zaporke iste.  ]]> 2020-11-23 15:49:10 UTC https://padlet.com/tonykukec/kriptiranje/wish/952823764 Naivni način slanja/spremanja zaporke tonykukec https://padlet.com/tonykukec/kriptiranje/wish/952911872 Kada netko prvi put radi sustav korisničkih računa, vjerojatno misli da je dovoljno poslati zaporku u obliku teksta i skladištiti ju na svom serveru u originalnom obliku. Postoji nekoliko problem s ovim pristupom.

1. problem: Hakiranje
Ukoliko netko dobije pristup vašem serveru i zaporke nisu kriptirane, napadač ima pristup SVIM korisničkim podatcima i zaporkama korisnika. Kako 52% korisnika koristi iste ili slične zaporke za sve svoje račune na internetu, vi niste kompromirali korisnike samo na svojoj platformi, nego je napad na vaš server doveo napadače do pristupa računima korisnika na svim drugim platformama koje koriste. To je jako opasno i zato je potrebno zaštititi zaporke i server na kojem se nalaze.

2. problem: Prisluškivanje
Čak i ako je vaš server potpuno siguran i nitko ga ne može hakirati (malo vjerojatno), i dalje postoji problem slanja zaporke. Ako je zaporka poslana nešifrirana, hakeri će lako pregledati podatke i pročitati zaporku. Zato je važno osigurati zaporku na računalu osobe koja kreira račun, a ne na serveru.

Ako želite saznati kako zaštititi zaporke, nastavite čitati.]]> 2020-11-23 16:08:02 UTC https://padlet.com/tonykukec/kriptiranje/wish/952911872 Druga metoda: Kriptiranje teksta tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953309808 Zaporka je zapravo tekst, a tekst se može kriptirati kako bi bio siguran.

Što je zapravo kriptiranje?
Kriptiranje (enkripcija) podataka je proces kojim se uz pomoć matematičkih formula i algoritama neki podatak mijenja i pretvara u neki drugi podatak, koji nije moguće pročitati ili koristiti. Potreban je enkripcijski ključ za dekriptiranje podataka, a ako je ključ spremljen na odvojenom mjestu, zaporke su sigurne dok god napadač nema enkripcijski ključ. Ovo se isprva čini kao dobra ideja, ali je problem u tome što je zaporke moguće dekriptirati, te će haker u rijetkim slučajevima moći dekriptirati sve zaporke u bazi podataka. Naprimjer, zaporka "lozinka123" će kriptirana DES enkripcijom s ključem "DES" izgledati kao 

"1C 8B 06 42 92 70 79 1D 3D 9B 3A 93 E1 4E EF 06"

To nije moguće pročitati ako se ne zna ključ, koji je u ovom slučaju bio "DES". Ako haker sazna ključ, lako će saznati i zaporku. Zato je enkripcija loš način spremanja i slanja zaporki.
]]> 2020-11-23 17:39:15 UTC https://padlet.com/tonykukec/kriptiranje/wish/953309808 Treća metoda: Hashing tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953434315 Hashing je proces pomoću kojeg se iz nekih podataka dobiva jedinstveni niz brojeva i slova određene duljine. Hashing je zapravo metoda enkripcije u kojoj nije moguće vratiti ulazne podatke. Sve što moramo napraviti kako bi zaštitili zaporku u slučaju napada na server ili na komunikacijski kanal između računala i servera je izračunati hash zaporke, te poslati samo njega serveru. Originalna zaporka nikada nije napustila računalo korisnika, a haker čak i ako dobije pristup serveru neće moći koristiti hasheve zaporki ni za što. Neće ih nikako moći dekriptirati.]]> 2020-11-23 18:08:13 UTC https://padlet.com/tonykukec/kriptiranje/wish/953434315 Problemi s hashingom tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953469647 Ako ste pročitali prijašnji odlomak, vjerojatno mislite da je hashing savršena metoda spremanja zaporki. Problem je u tome što postoji nekoliko brute-force napada koji pokušavaju saznati hasheve za česte zaporke, te tako mogu otkriti zaporku iz hasha.]]> 2020-11-23 18:16:16 UTC https://padlet.com/tonykukec/kriptiranje/wish/953469647 Napad na hasheve - Rainbow table attack tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953483212 Rainbow table su velike baze podataka milijuna čestih zaporki, zajedno s njihovim hashevima. U njima je moguće potražiti hash zaporke, te će baza podataka dati ulazne podatke potrebne da se algoritmom dobije taj hash. Problem s Rainbow Table napadima je što trebaju ogromnu komputacijsku moć za računanje toliko hasheva, ali svatko može pronaći ili kupiti bazu podataka koju je netko već izradio.]]> 2020-11-23 18:19:24 UTC https://padlet.com/tonykukec/kriptiranje/wish/953483212 Četvrta metoda: Hashing + salt tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953512184 Već ste saznali što je hashing, a salt je poprilično jednostavan. To je samo niz slova i brojeva koji se dodaju zaporki prije ubacivanja u hashing algoritam. Time se za dvije iste zaporke mogu dobiti 2 različita hasha. Salt može biti spremljen uz hash u bazi podataka.]]> 2020-11-23 18:26:13 UTC https://padlet.com/tonykukec/kriptiranje/wish/953512184 Primjer korištenja rainbow table napada tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953650051 Za gledanje videa u punoj rezoluciji, kliknite na ikonu "Open in new window"]]> 2020-11-23 19:00:18 UTC https://padlet.com/tonykukec/kriptiranje/wish/953650051 Primjer korištenja salta za zaštitu od rainbow table napada tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953681418 Za gledanje videa u punoj rezoluciji, kliknite na ikonu "Open in new window"]]> 2020-11-23 19:08:30 UTC https://padlet.com/tonykukec/kriptiranje/wish/953681418 Peta metoda: Key stretching tonykukec https://padlet.com/tonykukec/kriptiranje/wish/953691274 Vjerojatno je za većinu slučajeva hash+salt dobra metoda spremanja zaporki, ali u slučajevima u kojima je izrazito bitno da nitko ne može doći do zaporke, koriste se napredni algoritmi, koji više puta provode zaporku kroz hashing algoritam i koriste mnoge druge trikove kako bi računanje hasha za svaku zaporku bilo nemoguće dugo. Takav proces dodavanja troškova računanja hasha se naziva 
"key stretching", a jedan od takvih algoritama je PBKDF2. On nekoliko puta iterira hash i salt algoritam te je zato potrebno puno više vremena za računanje hasha zaporke. PBKDF2 se može namjestiti tako da prolazi kroz nekoliko tisuća iteracija, te korisnik može namjestiti koju razinu sigurnosti želi u obliku komputacijskog vremena.]]> 2020-11-23 19:10:58 UTC https://padlet.com/tonykukec/kriptiranje/wish/953691274 Kako sigurno spremati i slati zaporke? tonykukec https://padlet.com/tonykukec/kriptiranje/wish/956357141 Tvrtka Sophos, koja se bavi sigurnošću i enkripcijom, u svom blogu Naked security je postavila nekoliko savjeta za sigurno spremanje zaporki. To su:

  1. Koristiti siguran generator nasumičnih brojeva za kreiranje salta dugog 16 bitova ili više.
  2. Unijeti zaporku i hash u PBKDF2 algoritam.
  3. Koristiti HMAC-SHA-256 kao glavnu hash funkciju unutar PBKDF2 algoritma.
  4. Provesti 80,000 iteracija ili više [Ožujak 2019].
  5. Uzeti 32 bajta (256 bitova) izlaza PBKDF2 algoritma kao konačni hash zaporke.
  6. Spremiti broj iteracija, salt i konačni hash u bazi podataka zaporki.
  7. Redovito povećavati broj iteracija kako bi sigurnost ostala jaka uz povećanje snage procesora i alata za razbijanje zaporki. 
Što god radili, nemojte probati osmisliti svoj način za spremanje zaporki. Korištenje gotovih rješenja je u 99% slučajeva sigurnije i efikasnije od implementiranja vlastitog algoritma.
]]> 2020-11-24 14:33:22 UTC https://padlet.com/tonykukec/kriptiranje/wish/956357141 Kraj tonykukec https://padlet.com/tonykukec/kriptiranje/wish/956413867 2020-11-24 14:45:20 UTC https://padlet.com/tonykukec/kriptiranje/wish/956413867