Codifica usata da drupal per le password utenti

forse è md5, ma posso sbagliarmi.

prego.

Mamma mia, questo non mi l'aspettavo...

kiuz wrote:

forse è md5, ma posso sbagliarmi.

Spero di no. O almeno un salted hash.

Drupapero wrote:

E' proprio md5, grazie

Hai ragione. In modules/user.module, riga 210:

<?php
 function user_save($account, $array = array(), $category = 'account') {
  // Dynamically compose a SQL query:
  $user_fields = user_fields();
  if (is_object($account) && $account->uid) {
    user_module_invoke('update', $array, $account, $category);
    $query = '';
    $data = unserialize(db_result(db_query('SELECT data FROM {users} WHERE uid = %d', $account->uid)));
    // Consider users edited by an administrator as logged in, if they haven't
    // already, so anonymous users can view the profile (if allowed).
    if (empty($array['access']) && empty($account->access) && user_access('administer users')) {
      $array['access'] = time();
    }
    foreach ($array as $key => $value) {
      if ($key == 'pass' && !empty($value)) {
        $query .= "$key = '%s', ";
        $v[] = md5($value);
      }
...
?>

Okay. Ma non e' salted. Quindi abbastanza facile di crackare.

Vediamo... Wikipedia su MD5 punta a MD5 online cracker. Usiamo un online MD5 generator per fare un po' di prove...

Resultati:

Adesso proviamo con uno che conosco io: GData

Risultati:

E questi sono programmi online, con uno sul proprio PC? John the Ripper?
Morale della favola 1 - usa misto maiuscola/minuscola, numeri, e punctuation.
Morale della favola 2 - usa salted passwords, ma Drupal non lo fa. Sigh

Il mio livello di paranoia e' troppo alto?
Questo poi...

John

non ti dò tutti i torti sul "livello paranoia", diciamo che personalmente mi affido alla difficoltà di accedere alla password codificata. Se si accede alla pasword codificata... è relativamente facile per esempio sostituirla... oppure creare un nuovo super user... ecc.

Sono un po' preoccupato...C'e' qualcuno dietro di me? Ha una pistola forse?

kiuz wrote:

non ti dò tutti i torti sul "livello paranoia", diciamo che personalmente mi affido alla difficoltà di accedere alla password codificata. Se si accede alla pasword codificata... è relativamente facile per esempio sostituirla... oppure creare un nuovo super user... ecc.

Quale difficolta'? Hai tutti i siti in https? Spento il FTP? Accedi solo con SSH, hai un password luuuuungho con caratteri strani? Io purtroppo no...
Vedi Security through obscurity oppure Sicurezza tramite segretezza.
Il mio voto va alla seconda ipotesi quando la mia ignoranza in matteria mi permette.

Link di interesse:
Bruce Schneier
Going from unsalted to salted MD5 passwords

E su Windows:
Cain and Able - nome appropriato.

John

jhl.verona wrote:

Sono un po' preoccupato...C'e' qualcuno dietro di me? Ha una pistola forse?

kiuz wrote:

non ti dò tutti i torti sul "livello paranoia", diciamo che personalmente mi affido alla difficoltà di accedere alla password codificata. Se si accede alla pasword codificata... è relativamente facile per esempio sostituirla... oppure creare un nuovo super user... ecc.

Quale difficolta'? Hai tutti i siti in https? Spento il FTP? Accedi solo con SSH, hai un password luuuuungho con caratteri strani? Io purtroppo no...
Vedi Security through obscurity oppure Sicurezza tramite segretezza.
Il mio voto va alla seconda ipotesi quando la mia ignoranza in matteria mi permette.

Link di interesse:
Bruce Schneier
Going from unsalted to salted MD5 passwords

E su Windows:
Cain and Able - nome appropriato.

John

A volte si, e penso che in alcune situazioni è l'unica via percorribile per scongiurare qualche buco venga fuori. comunque ho delle consideraioni a riguardo.

Personalmente penso che il problema sia MOOOLTO più semplice, io ho avuto a che fare con gente che è venuta da me disperata dicendomi che qualcuno gli aveva rubato l'account su Hotmail o in qualche altro posto e poi scoprimo Password del tipo. 123456, NOMECOGNOME, NOME-DATA, COGNOME-DATA, DATA ecc.... e ci rendiamo conto che sono password presenti in dizionari o semplicemente identificabili conoscendo la vittima....

Altra considerazione che ci tengo a fare è che spesso è la stessa vittima a cadere trappola delle malefatte e magari l'attaccante ha davvero speso poche energie... perchè se devo spendere energie a cracckare qualcosa, penso almeno a farlo su qualcosa di inrteressante no? :D