Meja Pelangi

14hb Mei 2020 | Cybrary

Jadual Pelangi merupakan sumber yang digunakan untuk menggodam fungsi hash kriptografi bagi menemui kata laluan teks biasa dengan menggunakan pangkalan data pengesahan yang telah dikira terlebih dahulu . Penyelesaian jadual pelangi menggunakan algoritma untuk mencari maklumat yang diperlukan bagi memecahkan hash kata laluan dengan cepat. Walaupun algoritma penggaraman dan hash kata laluan moden sebahagian besarnya telah membatalkan jadual pelangi, terdapat banyak aplikasi yang tidak menggunakan alat yang sedia ada sedemikian dan sebaliknya bergantung pada kata laluan hash tunggal disebabkan oleh kemalasan atau tidak memberi perhatian kepada butiran penting.

Idea menggunakan jadual pelangi atau kaedah pemecahan cincang lain datang daripada penggunaan cincang kata laluan dalam pangkalan data pengesahan. Mana-mana sistem yang menggunakan kata laluan untuk pengesahan mesti menyimpan kata laluan tersebut dalam satu bentuk atau yang lain. Kes terburuk ialah pembangun aplikasi menyimpan kata laluan sebagai teks biasa yang menyebabkan semua kata laluan pengguna berdaftar sangat terdedah kepada akses tanpa kebenaran oleh penggodam atau pentadbir sistem dalaman. Walaupun amalan buruk ini telah diketahui selama beberapa dekad, ia masih biasa dalam aplikasi dalam talian.

Perkara yang sedikit tetapi boleh dikatakan sia-sia yang dilakukan oleh beberapa pengaturcara ialah melakukan satu pengiraan cincang kata laluan. Terdapat algoritma pencincangan biasa yang menukar kata laluan kepada apa yang mungkin kelihatan sebagai rentetan aksara rawak tetapi sebenarnya, sangat mudah untuk kejuruteraan terbalik dengan jadual pelangi. Apabila anda mengesahkan ke dalam sistem, kata laluan yang anda masukkan adalah Hashed menggunakan algoritma yang sama seperti yang digunakan untuk menyimpan kata laluan dalam pangkalan data kata laluan. Jika cincang sepadan, anda berjaya disahkan. Di sinilah Rainbow Table masuk.

Jadual pelangi menyimpan semua cincangan sehala kata laluan teks biasa daripada 1 aksara panjang kepada 7 atau mungkin 8 aksara panjangnya. (Jadual pelangi 8 aksara untuk algoritma pencincangan mudah akan mengambil masa sehingga 32 Petabait ruang pangkalan data untuk disimpan!). Apabila penggodam mencuri cache cincang kata laluan mudah, mereka boleh mencari nilai cincang dalam jadual pelangi untuk mencari kata laluan teks biasa.

Mengapakah Rainbow Table kebanyakannya Mati?

Dengan kemunculan penggunaan garam kata laluan sehingga 32 aksara, jadual pelangi tidak wujud untuk melakukan carian sedemikian (Sumber: Jadual Pelangi Sudah Mati ). Lebih penting lagi, banyak binari standard melakukan hashing berulang kata laluan. Ini berlaku apabila kata laluan yang telah disalut dihash berulang kali, beberapa kali, dan nilai hash terakhir, katakan, hash ke-764 bagi kata laluan yang telah disalut pada asalnya disimpan dalam pangkalan data untuk perbandingan masa hadapan semasa pengesahan ke dalam aplikasi. Jadual pelangi tidak boleh memecahkan kata laluan ini.

Mengapa meja pelangi tidak Semua mati?

Apabila penggodam mencuri cache kata laluan mereka boleh dengan cepat menentukan sama ada kata laluan itu telah digaramkan dan dicincang N beberapa kali, dengan menggunakan jadual pelangi untuk mencari 100 kata laluan teratas. Jika mereka menemui padanan, mereka boleh mengundurkan diri untuk menentukan sama ada pengaturcara malas dan tidak memasukkan kata laluan atau mencincangnya secara berulang atau kedua-duanya. Terlalu kerap, pembangun telah melangkau langkah penting ini supaya penggodam kini mempunyai kata laluan anda dengan merekayasa terbalik pada jadual pelangi yang ringkas.

Apakah maksud ini untuk SMB?

Jadual pelangi ialah cara yang pantas dan berkesan untuk memecahkan kata laluan tanpa garam dan dicincang tunggal. Jika anda membangunkan aplikasi di SMB anda, pastikan anda bertanya bagaimana kata laluan disimpan. Tanya pembangun berapa besar SALT mereka (8 adalah kecil, 32 aksara sudah memadai) dan kemudian tanya berapa banyak lelaran yang mereka lakukan pada kata laluan sebelum mereka menyimpan nilai cincang. LastPass melakukan pencincangan kata laluan mereka lebih 100,000 kali pada Kata Laluan Utama. Itu mungkin berlebihan untuk organisasi anda, tetapi beberapa ratus hingga 1000 perlu diperlukan.

Fungsi penggaraman dan penghambatan yang biasa termasuk: “ Argon2 , scrypt , bcrypt dan PBKDF2 ”.

Apa sahaja yang anda lakukan, anggap ini sebagai keperluan kritikal dalam pembangunan aplikasi anda. Jika anda tidak boleh membina SSO ke dalam skema kata laluan anda, dan anda perlu menyimpan cincang kata laluan, maka anda mesti garam dan cincang databse kata laluan anda secara berulang menggunakan alat yang disebutkan dalam artikel ini.