قبلا بصورت مفصل در خصوص ماهیت Hashing یا الگوریتم های درهم سازی و کاربردهایشان در توسینسو مقاله نوشته ایم . اما خوب ممکن است دوستان دیگری که به این مقاله مراجعه کرده اند هنوز دیدی نسبت به Hashing و Salt نداشته باشند بنابراین پیشنهاد می کنم که حتما سه مقاله زیر را مطالعه کنید :
استفاده کردن از Rainbow Table ها سالها یکی از بهترین روشهای کرک کردن پسوردها بود. ماهیت یکسان بودن Hash یک رشته و خروجی یکسان آن باعث شده بود که محاسبه کردن Rainbow Table ها و سرعت بالایی که به نسبت حملات Brute Force داشتند تا حدی جایگزین حملات Brute Force هم شده باشد.
اما به مرور Rainbow Table ها محبوبیت خودشان را از دست دادند ، دلیل آن هم مشخص بود ، دیگر Hash پسوردهای مشابه یکسان نبود !! قابلیت Salt به کمک رمزنگاری آمده بود و باعث شده بود که عملا هیچ Hash یکسانی در بانک اطلاعاتی ذخیره نمی شد.
اما آنقدرها هم خوشبین نباشیم ! فراموش نکنیم که اگر قابلیت و امکان جدیدی به دنیا معرفی می شود ، قرار نیست همه افراد به سرعت از این تکنیک ها استفاده کنند و همیشه آنهایی که عقب می مانند در معرض خطر قرار می گیرند. این یعنی چه؟
یعنی اینکه همچنان ده ها هزار برنامه نویس مبتدی و ناشی در دنیا وجود دارند که حتی درکی از مفهوم Salt و Salting در رمزنگاری اطلاعات ندارند که هیچ !! حتی نحوه ذخیره کردن پسوردها را نیز در بانک اطلاعاتی نمی دانند و این همان چیزی است که در دنیا باعث می شود
قدیمی ترین تکنیک های هکینگ هم بعضا به کار بیاید. تعجب کردید؟ نه اصلا تعجب نکنید ، آنقدر آدم ناشی در دنیا وجود دارد که همیشه بتوانیم از آسیب پذیری های قدیمی و به ظاهر منسوخ شده نیز نهایت بهره را ببریم. بد نیست بدانید در همین ایران خودمان سازماهایی وجود دارند که در وب سایتشان وقتی ثبت نام می کنید
رمز عبور شما بصورت Plaintext را رمزنگاری نشده ذخیره می شود و حتی تبدیل به Hash نمی شود ! امتحانش هم سادست !! کافیست فراموشی رمز عبور را بزنید تا عین پسورد ذخیره شده را برایتان ایمیل کنند !! از نظر من هنوز هم Rainbow Table ها برای بسیار از حملات وب کاربردی هستند
و از طرفی هنوز ما سیستم عامل ها و پسوردهای LM و NTLM ای را داریم که سالهاست بدون تغییر در SAM ویندوز ذخیره می شوند و شما می توانید از Rainbow Table برای شکستن آنها استفاده کنید . حتی دیگر به روز رسانی هم برای این موضوع از طرف حتی مایکروسافت هم ارائه نمی شود !
به عنوان کسیکه سالها کار تست نفوذ انجام داده ام یک توصیه دوستانه می کنم ، هیچوقت پسوردها را در وب سایتها ، اپلیکیشن ها ، وب سرویس ها ، سیستم عامل ها و ... در قالب متن خام ذخیره سازی نکنید ، حتما از Hashing و پشت سر آن حتما از Salt برای امنیت بالاتر استفاده کنید.