Nota: entiendo completamente la necesidad de contraseñas seguras y amp; Entiendo que hay un problema de velocidad con hash. Solo me interesa entender mejor el impacto negativo actual de las contraseñas de fuerza media (por ejemplo: a&3jC36ksL , AweSom3paSswOrd , sImple! pass_pHrase ) y los algoritmos de hashing pobres (SHA1, MD5) específicamente.
Por ejemplo, simulemos que tenemos la siguiente aplicación (usabilidad aparte por ahora): solo permite tres intentos de contraseña incorrectos dentro de una ventana de 120 minutos, con la cuenta bloqueada después del cuarto intento. También podemos garantizar que los usuarios nunca reutilizarán las contraseñas (de esta aplicación o de cualquier otro sitio web), y siempre son demasiado complejos para ser adivinados con solo tres intentos.
Con estas suposiciones, ¿cuál es la principal preocupación de las contraseñas seguras y los algoritmos de hash de extra ?
- Si un atacante quiere hacer un ataque de fuerza bruta, ¿no necesitan acceso directo a los datos, en cuyo caso ya tienen lo que buscaban?
Esta publicación sobre las contraseñas de hashing señala este punto:
Hay formas en que los atacantes pueden obtener acceso a partes de su base de datos sin acceder a todas ellas ... Los errores de codificación pueden filtrar datos, al igual que las vulnerabilidades de SQL. Un atacante podría obtener un volcado de sus contraseñas y nada más.
Tal vez esto responda a mi pregunta, pero todavía no estoy seguro de la probabilidad de que esto ocurra. Tampoco sé si la fuerza bruta es la única preocupación.
- Si los hashes de contraseña solo son buenos para determinar las contraseñas de otros sitios, y la base de datos solo contiene contraseñas únicas, los hashes deberían ser inútiles, ¿no?