0894 221 228

Блог

Bcrypt криптиране и стъпка напред в сигурността.

2013-02-06

Bcrypt криптиране и стъпка напред в сигурността.

Вградихме Bcrypt криптиране в Centryl за по-голяма надеждност и сигурност както за нашите клиенти, така и за техните клиенти!

Защо имаме нужда от сигурно криптиране на паролите?

Складирането на пароли криптирани със слаб алгоритъм, или още по-лошо - в чист текст, е изключително неприемливо за днешните стандарти. Използването на софтуер, който не се е погрижил за паролите на Вашите клиенти, може да доведе до катастрофални поражения както за тях, така и за Вашата репутация и бизнес. Tакъв пробив в сигурността е имало при доста големи компании, пресен пример за това е LinkedIn. Основната причина за криптиране на паролите е, че често Вашите клиенти ползват една и съща парола за всички приложения които ползват - пощи, социални мрежи и най-важното системи за онлайн разплащания и банкиране. Съответно такъв пробив би означавал сериозно компрометиране на личните данни на клиента.Ето защо използването на еднопосочно криптиране преди складиране на паролите е от изключително значение

Какво всъщност е еднопосочно криптиране?

Накратко - това е криптиране, което сравнително лесно и бързо преобразува входни към изходни данни, но обратния път е невъзможен или поне на теория. Казано по друг начин, входните данни са паролата на Вашия клиент в чист текст, а изходните са кодиран текст, който на теория не може да се дешифрира.По този начин паролата остава абсолютно анонимна и дори притежятелят на базата от данни не би могъл да знае каква е тя. До тук нещата звучат надеждно, но дали е достатъчно? Оказва се, че само това не е достатъчно, за да подсигурите паролите на Вашите клеинти.

Rainbow attack

Съществуват няколко разновидности на атаки, например така наречената "Дъгова атака"(rainbow attack). Тя представлява изградена база от данни с архив от еднопосочно криптирани комбинации от думи (предполагаеми пароли), чийто обем нараства непрекъснато и съчетано с днешните възможности на домашен компютър, откриването на дадена парола, ако тя съществува в базата от данни, може да стане за секунди. Ето защо паролите, които се избират, трябва да не са просто букви, а да се добвят числа и различни символи с цел тази комбинация да липсва в тези изградени архиви. Въпреки това голяма част от хората все още ползват за пароли лесни или предполагаеми думи, които при една такава атака лесно ще бъдат разкрити.

Решението

Едно решение е подсигуряване на паролите чрез добавяне на допълнителен низ(текст) към паролата преди тя да бъде криптирана, наречено "salting". Така се постига достатъчно сложен текст, предефинирането на който в база от данни за атака е слабо вероятно.

Какво може oще да се направи?

По-горе споменахме, че еднопосочно кодиране е лесно и бързо преобразуване в едната посока и теоретично невъзможно в обратната, ако обаче забавим този криптиращ процес, ще затрутдним значително изграждането на масивни бази от данни с предефинирани пароли. Един такъв алгоритъм е точно "Bcrypt", базиран на изобретения от Брус Шнайдер през 1993 "Blowifsh" шифър.