В этой фразе есть некорректное допущение. правило "как правильно назначать пароли" в жизни 50000 -ого блога невозможно внедрить в командно-приказном порядке. Поэтому у многих юзеров будут пароли, которые перечислены во всех свалках MD5-хешей. Именно таких тупых, но тем не менее очень нужных юзеров и требуется оградить от простого перехвата, слива, кражи хеша паролей.

о симметричном не шла нигде, а вот это ваше высказывание:

натолкнуло меня на мысль о Асимметричном (не симметричном) шифрование

Это сообщение отредактировал(а) krundetz - 23.12.2011, 16:57

Ок. А то моя воспринял не симметричное шифрование как ломаная русская языка.

А зачем? Не вижу смысла. Как вы себе это представляете?

Прежде всего Вам стоит ознакомиться с услугами безопасности, которые предоставляет тот или иной криптографический алгоритм / протокол.
Во-первых нет никаких преимуществ от асимметрии. Шифрованиее вообще предполагает обратный процесс, при передаче либо восстановлении данных. Например это имеет смысл для номеров платежных карт.
Но и там достаточно симметричного алгоритма, где ключ получается при помощи процедуры расширения ключа скажем из пароля пользователя. (Опять таки ключ не должен храниться на сервере, иначе это полностью сводит на нет любой механизм безопасности). Асимметрия же используется для аутентификации, но в несколько других схемах.

Это сообщение отредактировал(а) cutwater - 23.12.2011, 17:34

krundetz, да я вообще не спорю, чисто рассуждения и только    ту как ни странно вообще что-то споров нет...
Мне не хватает много способов отдачи данных, т.е. в каком виде и в какой форме.. 

ksnk, почему не реально? я задаю условие для пароля:
1. должна быть минимум одна цифра
2. должна быть минимум одна строчная буква
3. должна быть минимум одна прописная буква
4. длина не менее 8 знаков
5. пароль не должен попасть в основной словарь "для взлома". Таких много... средний размер 2-3 метра в формате txt

и я больше чем уверен, что "тупых" юзеров будет минимум минимума 

А я развернусь и свалю с блога. Потому, что я ВСЕГДА и ВЕЗДЕ ставлю пароль 12345.   

Ситуация неразрешима логически

ну а с другой стороны.. не велика будет потеря если я потеряю пользователя который грозит мне безопасности.. Я тоже ставлю такой пароль когда требуется чтобы скачать файл или торрент. И я знаю что больше на этот сайт не зайду ;) Что кстати, ещё раз подчёркивает намерение таких людей

Это сообщение отредактировал(а) Gold Dragon - 23.12.2011, 18:11

В твоих требованиях к пользователю встречаются такие нетривиальные, как
-- умение запомнить 8-ми буквенный пароль с цифрами
-- умение скачать, распаковать и произвести поиск своего пароля в сторонней базе паролей

Возможно, это покажется странным, но в интернете сидят не только It-шники, но и дети, домохозяйки, бабушки и другой разный народ, не имеющий отношения к безопасности. В устоявшемся форуме на кулинарную тему такого и слова, как "пароль" многие могут не понять. (а оно само заходит  )

Это я к тому, что если для дополнительной безопасности достаточно слегка подсолить - почему бы это не сделать?

 Именно, были новичками. А сейчас SQL-inj не находят в популярных CMS.
Смотри трекеры уязвимостей: последние такие уязвимости были давно, а SQL-inj находят лишь в плагинах к ним(который совсем не кортим пишет).

 Повторю еще раз: ранее софт писали не программисты, а новички, т.к. отрасль тогда только появлялась. И только потом они стали программистами.

 Вот кто его использует, тот и может SQL-inj получить. Просто из-за человеческого фактора.

 А еще хуже тот, кто думает, но не делает.

ну вообще-то основные почтовики предъявляют эти требования.. тотже гугля.. Или к примеру тотже скайп, ICQ

Вот нужно и разумно подходить в защите..  md5 вполне хватает почти всегда без всякой соли 

я точно это и имел в виду


в рамках конкретно этой задачи? или вообще?


Значит я как то не так понял ваше описание работы соли, если не затруднит перефразируйте.

 Мне показалось, что ты говорил про человеческий фактор.
Я же сказал, что он будет только при некачественном коде иметь место быть(SQL-запросы в виде строк). При качественном человеческого фактора не будет.

пример

Предлагаю создать отдельно голосование кто какие средства защиты пароля использует(!)

 Забудут(человеческий фактор, обусловленный кривым инструментом) кусок строки заэскейпить.

 Тут про SQL-што спорили. Не использую никаких мер защиты против сабжа.

От криворуких программистов защиты не бывает, но мы, вроде не их обсуждаем   

Как это? Даже mysql_real_escape_string принципиально не используешь?