Ce que l'on apprend par l'effort reste toujours ancré beaucoup plus longtemps.
barf, mais ca s'appuie sur le postulat que le robot a un quelconque interet de différencier le champ login du champ password, ce qui est faux, il n'a qu'a tester tous les champs avec toutes les valeurs cad que la ou il aurais testé "admin, root, route, toor" avec les passwords "test, truc, 1234, tmp" avec deux champs login et password identifiable il aurait fait si je compte bien 16 combinaisons avec ta méthode il la fait juste 32 fois, au lieu de 16, le facteur étant le nombre de champs, sur trois champs, ca ne change rien ou presque au temps que le robot mettra à casser ton login.Le HASH MD5 est une fonction irréversible, il n'existe pas d'algorithme ou de fonction permettant de retrouver la chaîne d'origine à partir de son HASH.
De plus si tu fais en sorte que cette signature change a chaque tentative tu peut sans trop de risque, dire que retrouver la valeur exact est pratiquement impossible.
Et je n'ai jamais dis que c'étais la solution ultime, mais je ne suis pas d'accord quand on dis que l'on va faire sauter ça en 5 minutes.
Mais bon j'insiste pas, il est tard je faire dodo
Le hacker peut toujours utiliser un réseau de zombi pour s'affranchire de la limitation d'IPDe même qu'il est coûteux de passer par un proxy anonyme pour s'affranchir de l'IP. Quand on doit faire un essai, ça passe tout seul, quand on doit en faire des millions, ce n'est pas viable…
Si tu te retrouves avec un million de machines qui t'attaquent par brute force d'un coup , je pense que la question ne se pose plus ...Le hacker peut toujours utiliser un réseau de zombi pour s'affranchire de la limitation d'IP
Oui, cela revient au même, mais c'est compliqué à mettre en place. Déjà il faut programmer en distribué dans ce cas. Ensuite, Le problème est le même, pour faire une tentative, il faut :Le hacker peut toujours utiliser un réseau de zombi pour s'affranchire de la limitation d'IPDe même qu'il est coûteux de passer par un proxy anonyme pour s'affranchir de l'IP. Quand on doit faire un essai, ça passe tout seul, quand on doit en faire des millions, ce n'est pas viable…
Euh, je ne vois pas en quoi il va faire tomber le serveur…je redis, encore une fois, une solution de timeout va mettre le serveur sur les genoux en cas de bruteforce, ça n'est pas souhaitable...
Bah ça dépend de comment le code est géré, dépend aussi de l'administration du serveur...je redis, encore une fois, une solution de timeout va mettre le serveur sur les genoux en cas de bruteforce, ça n'est pas souhaitable...
32 possibilités pour une signature MD5 ,moi je dirais plutot environ 3,4 x 10^38 .il aurait fait si je compte bien 16 combinaisons avec ta méthode il la fait juste 32 fois, au lieu de 16
(si je dis des conneries sur les chiffres corrigez moi, il est 3h du mat jsuis au boulot depuis hier matin, et j'ai une bonne centaine d'heure de boulot dans les pattes cette semaine)
Ce que l'on apprend par l'effort reste toujours ancré beaucoup plus longtemps.
mais t'es bête ou quoi?32 possibilités pour une signature MD5 ,moi je dirais plutot environ 3,4 x 10^38 .il aurait fait si je compte bien 16 combinaisons avec ta méthode il la fait juste 32 fois, au lieu de 16
(si je dis des conneries sur les chiffres corrigez moi, il est 3h du mat jsuis au boulot depuis hier matin, et j'ai une bonne centaine d'heure de boulot dans les pattes cette semaine)
En plus a chaque tentative c'est pas un caractère qui change mais toute la signature.(les 32)
dunbar, à partir du moment ou tu abordes les choses sous l'angle de la sécurité, certaines vérités ne sont simplement plus vraies.Le HASH MD5 est une fonction irréversible, il n'existe pas d'algorithme ou de fonction permettant de retrouver la chaîne d'origine à partir de son HASH.
