Čo je peppering v zabezpečení hesiel a ako to funguje?

Korenie nie je len slovo súvisiace s kulinárskymi zručnosťami; je to tiež dôležitý kryptografický proces pri zabezpečení hesiel. Je nevyhnutné, aby boli heslá chránené pred útokmi hackerov. K tomu pomáha korenie. Čo je to korenie a ako pomáha udržiavať vaše heslá v bezpečí?

Čo je korenie?

Korenie je šifrovací proces, ktorý zahŕňa pridanie tajného a náhodného reťazca znakov k heslu predtým, ako sa osolí a zahašuje, aby bolo bezpečnejšie. Reťazec znakov pridaných do hesla sa nazýva korenie. Paprika úplne zmení hash hesla a urobí ho imúnnym útoky hrubou silou a prelomenie hesiel pomocou slovníkových tabuliek a dúhových tabuliek.

Ako funguje korenie?

Korenie je ďalšia vrstva zabezpečenia pridaná k heslám. Predstavte si to ako rôzne polevy na torte. Obyčajný koláč je heslo v otvorenom texte a hashovanie je konečnou polevou – povedzme posypy. Ak by ste dali posýpku priamo na koláč, nevyzeralo by to moc dobre. Rovnako je to so zabezpečením heslom.

Len hashovanie hesla nie je bezpečné, pretože heslo možno ľahko prelomiť. To je dôvod, prečo ostatné polevy, soľ a korenie (iróniou osudu), robia koláč lepším – ako to robia s heslami

Čo teda vlastne znamená, že heslo je hashované? Hašovanie je jednosmerný proces šifrovania v kryptografii. Heslá, ktoré sú hašované, sú v podstate zakódované a namiesto ukladania hesiel v otvorenom texte do databázy sa ukladajú hash. Po zadaní hesla sa zahašuje a potom sa porovná s hašovaným heslom v databáze. Takto systém overí vašu identitu.

Rovnako ako solenie, je k heslu pripojená paprika, aby bolo bezpečnejšie. Heslo je teda transformované z obyčajného hesla na hash heslo + soľ + korenie. Takže v prípade, že hacker získa prístup k soliam a/alebo dokonca heslám používateľov, hacker nebude schopný dešifrovať hashované heslo, pretože korenie úplne zmení hash.

Porovnajte napríklad hash obyčajného hesla, presoleného hesla a okoreneného hesla. Nech je heslo „1yAm0r1a!“, soľ „eW3dU%“ a korenie „Am41a?“.

Text hesla	Hašované heslo
Heslo vo forme obyčajného textu	1yAm0r1a!	c243787fb465db7b550974bd0801616845c4c36b260ab1e90b5f1524d9babd69
Solené heslo	1yAm0r1a!eW3dU%	06b63a0d575ce62e39cc9942ad835f276ac0b959dd04837e007209e274e2fbdb
Okorenené heslo	1yAm0r1a!eW3dU% Am41a?	fb33c3dfc404e9ee22b1ea246cf244e7495128dbc49c6af27a86dc7ee2992553

Môže sa paprika používať bez soli?

Áno, heslo sa dá použiť aj bez soli. To však nie je ideálne na zabezpečenie hesla. Ak útočník spozná korenie stránky, táto stránka sa stane zraniteľnou voči útoku, pretože korenie sa používa pre všetky heslá v databáze.

Aký je rozdiel medzi korením a solením?

Svojím spôsobom je paprika druhom soli. Obaja robia heslá bezpečnejšími, ale sú odlišné. Na rozdiel od soli sú papriky tajné, statické a negenerujú sa náhodne.

Papriky nie sú generované náhodne

Keď sa prihlásite na webovú stránku a zadáte svoje heslo, pred jeho hashovaním sa vám náhodne vygeneruje soľ. To isté nie je s paprikou.

Pri paprikovaní si papriku vyberá majiteľ stránky. Úlohou vlastníka stránky je zabezpečiť, aby vybrané korenie bolo bezpečné a dostatočne silné. Majiteľ stránky sa samozrejme môže rozhodnúť použiť na výber papriky generátor náhodných hodnôt.

Papriky sú statické

Keď je niečo statické, znamená to, že sa to nemení. Pri solení sa každá soľ generuje pre každého používateľa v databáze. V celej databáze sa však používa paprika. Neexistujú žiadne papriky pre jednotlivých používateľov.

Papriky sú držané v tajnosti

Na rozdiel od solí, ktoré možno nájsť v databáze lokality, paprika je tajná. Nie sú uložené v databáze spolu so soľami a hashovami; tým by paprika stratila zmysel.

Namiesto toho sú papriky uložené v bezpečnej a oddelenej časti aplikácie lokality. Je to dôležité, pretože v prípade, že hacker napadne stránku a získa prístup k heslám a solí používateľov na tejto stránke, nebudú schopní prelomiť žiadne heslá, pretože nepoznajú korenie.

Výber dobrej papriky

Vybrať si dobrú papriku je rovnako dôležité ako výber dobrého hesla. Rovnako ako heslá, papriky by mali byť primerane dlhé a jedinečné. Pamätajte, že na celom webe sa používa korenie; ak si hacker vynúti alebo uhádne korenie, vaša stránka bude zraniteľná. Nepoužívajte názov svojej stránky ako papriku. To je ekvivalent použitia hesla „Password123“ ako hesla.

Ďalšou alternatívou je použitie generátora hesiel. Na internete je veľa generátorov hesiel, ktoré by sa dali použiť na výber dobrej papriky.

Ďalším spôsobom papriky je neskladovať papriku vôbec. Namiesto toho je paprika krátky reťazec a keď sa používateľ prihlási na stránku, systém hrubou silou alebo prejde sériou možných paprík, kým sa nepoužije tá správna. Trvá to dlhšie, preto je potrebné použiť krátku papriku.

Jednoduchým, no nezabezpečeným príkladom tejto metódy je zoradenie papriky podľa abecedy. Keď sa prihlásite, stránka prejde každé písmeno abecedy – malé aj veľké – až kým nebude korenie správne.

Aj keď je typické používať jednu papriku na jednom mieste, je možné mať ich viac naraz. Paprika je náhodne priradená užívateľovi pri registrácii zo skupiny paprík. Keď sa používateľ prihlási, skúša sa každá paprika, kým sa nevyberie tá, ktorá je priradená tomuto používateľovi.

Je korenie účinné pri zvyšovaní bezpečnosti?

Áno. Keď sa korenie použije so soľou, pre hackera je neuveriteľne ťažké prelomiť heslo používateľa. Aj keď používatelia používajú slabé heslá alebo rovnaké heslá, hacker sa to nikdy nedozvie, pretože korenie mení hash. S opekaním sa bezpečnosť hesiel výrazne zvyšuje.

7 bežných chýb hesla, ktoré vás pravdepodobne hacknú

Prečítajte si ďalej

O autorovi