פרסומת
במאמר שנערך לאחרונה על בדיקת האם היית מושפע מאירוע הפריצה של גאוקר כיצד לגלות אם כתובת הדוא"ל שלך הודלפה דרך מסד הנתונים של גאוקר קרא עוד , אחד הצעדים הכרוכים בהמרת כתובת הדואר האלקטרוני שלך ל- hash MD5.
היו לנו כמה שאלות מהקוראים ששאלו בדיוק מה קורה, ומדוע התהליך הזה היה הכרחי. זה לא הסגנון שלנו להשאיר אתכם שואלים שאלות, אז הנה פירוט מלא של MD5, hashing וסקירה קטנה של מחשבים וקריפטוגרפיה.
קריפטוגרפיה האשינג
MD5 מייצג Mתמצית דאלגוריתם igest 5, והומצא על ידי הקריפטוגרף האמריקני הנודע פרופסור רונלד ריבסט בשנת 1991 כדי להחליף את תקן MD4 הישן. MD5 הוא פשוט השם לסוג של פונקציית hashing קריפטוגרפית שרון הצליח להגיע אליה, כבר בחזרה ב- 91 '.
הרעיון שמאחורי חשיפה קריפטוגרפית הוא לקחת גוש נתונים שרירותי ולהחזיר ערך "hash" בגודל קבוע. זה יכול להיות כל נתונים, בכל גודל, אך ערך ה- hash תמיד יהיה קבוע. נסה זאת בעצמך כאן.
לחשיפה קריפטוגרפית יש מספר שימושים, וישנם מספר עצום של אלגוריתמים (מלבד MD5) שנועדו לבצע עבודה דומה. אחד השימושים העיקריים לחשיפת הצפנה הוא לאימות תוכן ההודעה או הקובץ לאחר ההעברה.
אם אי פעם הורדת קובץ גדול במיוחד (
לינוקס הפצות, סוג כזה) סביר להניח שתבחין בערך החשיש שמלווה אותו. לאחר הורדת קובץ זה, באפשרותך להשתמש בחשיש כדי לאמת שהקובץ שהורדת אינו שונה בשום אופן מהקובץ המפורסם.אותה שיטה עובדת עבור הודעות, כאשר ה- Hash מוודא שההודעה שהתקבלה תואמת את ההודעה שנשלחה. ברמה הבסיסית ביותר, אם יש לך ולחבר קובץ גדול כל אחד ומעוניינים לוודא שהם זהים לחלוטין ללא העברה נוקשה, קוד ה- Hash יעשה זאת עבורך.
אלגוריתמי השיחה ממלאים גם תפקיד בזיהוי נתונים או קבצים. דוגמה טובה לכך היא רשתות שיתוף קבצים של עמיתים לעמית, כגון eDonkey2000. המערכת השתמשה בגרסה מאלגוריתם MD4 (למטה) ששילב גם את גודל הקובץ לחשיש כדי להצביע במהירות על קבצים ברשת.
דוגמה חתימה לכך היא ביכולת למצוא נתונים במהירות בטבלאות חשיש, שיטה הנפוצה על ידי מנועי חיפוש.
שימוש נוסף בחיפזון הוא באחסון סיסמאות. אחסון סיסמאות כטקסט ברור הוא רעיון רע, מסיבות מובנות ולכן במקום זאת הם מומרים לערכי חשיש. כאשר משתמש מזין סיסמה, הוא מומר לערך hash ונבדק מול ה- hash המאוחסן הידוע. מכיוון ש- hashing הוא תהליך חד כיווני, בתנאי שהאלגוריתם נשמע אז יש סיכוי תיאורטי מעט לפענוח הסיסמא המקורית מה- hash.
Hashing קריפטוגרפי משמש לעתים קרובות גם לייצור סיסמאות, וסיסמאות נגזרות מביטוי בודד.
אלגוריתם הודעה לעיכול 5
הפונקציה MD5 מספקת מספר הקסדצימאלי בן 32 ספרות. אם היינו הופכים את 'makeuseof.com' לערך hash של MD5, זה היה נראה כמו: 64399513b7d734ca90181b27a62134dc. זה נבנה על פי שיטה המכונה מרקל "" מבנה דמג '(למטה) המשמש לבניית מה שמכונה פונקציות hash "הוכחות בפני התנגשות".
עם זאת, שום אבטחה אינה הוכחה לכל דבר, ובשנת 1996 התגלו ליקויים פוטנציאליים בתוך אלגוריתם ה- hash MD5. באותה תקופה לא נתפסו כקטלניות, ו- MD5 המשיך להשתמש. בשנת 2004 התגלה בעיה חמורה בהרבה לאחר שקבוצת חוקרים תיארה כיצד לגרום לשני קבצים נפרדים לחלוק את אותו ערך חשיש MD5. זו הייתה המקרה הראשון של התקפת התנגשות שנעשתה נגד אלגוריתם ה- Hash5 של MD5. פיגוע התנגשות מנסה למצוא שני תפוקות בוררות המייצרות את אותו ערך חשיש - מכאן התנגשות (שני קבצים קיימים עם אותו ערך).
במהלך השנים הבאות התרחשו ניסיונות למצוא בעיות אבטחה נוספות בתוך MD5 ובשנת 2008 קבוצת מחקר אחרת הצליחה להשתמש בשיטת פיגוע ההתנגשות בכדי לזייף תעודת SSL תוקף. זה יכול לגרום למשתמשים לחשוב שהם גולשים בצורה מאובטחת, כשהם לא. המחלקה לביטחון פנים בארה"ב הודיע זה: "על המשתמשים להימנע משימוש באלגוריתם MD5 בכל יכולת שהיא. כפי שהוכיח מחקר קודם, יש לראות בו שבור קריפטוגרפי ולא מתאים לשימוש נוסף“.
למרות האזהרה הממשלתית, שירותים רבים עדיין משתמשים ב- MD5 וככאלה הם בסיכון טכני. עם זאת ניתן "להמליח" סיסמאות, כדי למנוע תוקפים פוטנציאליים המשתמשים בהתקפות מילון (בדיקת מילים ידועות) נגד המערכת. אם להאקר יש רשימה של סיסמאות אקראיות המשמשות לעיתים קרובות ואת מסד הנתונים של חשבון המשתמש שלך, הוא יכול לבדוק את החשיש במאגר מול אלה שנמצאים ברשימה. מלח הוא מחרוזת אקראית, המקושרת לחיפושי סיסמאות קיימים ואז ממהרת שוב. לאחר מכן מאוחסנים במאגר את ערך המלח והחשיש שנוצר.
אם האקר רצה לגלות את הסיסמאות של המשתמשים שלך, הוא היה צריך לפענח תחילה את חשיטי המלח, והדבר הופך את ההתקפה למילון למדי חסרת תועלת. מלח אינו משפיע על הסיסמה עצמה, ולכן עליכם תמיד לבחור סיסמה שקשה לנחש.
סיכום
MD5 היא אחת משיטות רבות ושונות לזיהוי, אבטחת ואימות נתונים. חשיפה קריפטוגרפית היא פרק חיוני בתולדות האבטחה, וההסתרת דברים. כמו בהרבה דברים שתוכננו מתוך ביטחון, מישהו נעלם ושבר אותו.
סביר להניח שלא תצטרך לדאוג יותר מדי לגבי בדיקות חשיפה ו MD5 בהרגלי הגלישה היומיים שלך, אבל לפחות עכשיו אתה יודע מה הם עושים ואיך הם עושים את זה.
היה צריך אי פעם לחשיש משהו? האם אתה מאמת את הקבצים שאתה מוריד? האם ידוע לך על יישומי אינטרנט טובים MD5? ספרו לנו בתגובות!
תמונת מבוא: Shutterstock
טים הוא סופר עצמאי שחי במלבורן, אוסטרליה. תוכלו לעקוב אחריו בטוויטר.