Nein, Sie können nicht feststellen, wie genau Sie den Hash betrachtet haben. In diesem Sinne wurde eine Hash-Funktion entwickelt: Ein einzelnes geändertes Bit am Eingang muss viele Bits am Ausgang ändern. . Sein Avalanche-Effekt genannt

Bellow ist SHA1-Hashes für einige Ihr Beispiel Passwörter:

  cbfdac6008f9cab4083784cbd1874f76618d2a97 - password123b2e98ad6f6eb8508dd6a14cfa704bad7f05f6fb1 - Password1232b4bfcc447c3c8726d26c22927a68f511d5e01cc - password124115b55dcc1cd9a0dfdd60c120e83eaf658c45fc6 - richtiges Pferd Batterieheftbarkeitf7aad6438836dbe526aa231abde2d0eef74d42 - Richtige Heftklammer für Pferdebatterien  

Eine einzelne Bitänderung ändert das Hashing-Ergebnis vollständig. Tatsächlich wird im Idealfall für jedes Bit der Eingabeänderung jedes Bit der Ausgabe mit einer Wahrscheinlichkeit von 50% geändert.

Nein, dank des Lawineneffekts sollte bereits eine einzelne Bitänderung in der Eingabe einen signifikanten großen Unterschied in der Ausgabe bewirken.

Auch über Hashing-Funktionen wie md5 oder andere sprechen ... Bei jeder Eingabe Größe Die Ausgabegröße ändert sich nicht. Wenn Ihre Eingabegröße in md5 2 Bit oder 2000 Bit beträgt, ist Ihre Ausgabe immer 32-stellig in alphanumerischer Form (Hexadezimalformat). Daher ist es für den normalen Benutzer fast unmöglich, die Eingabegröße zu erraten, selbst wenn er die MD5-Ausgabe gehasht hat. Das Erraten des Kennworts geht weit über den Rahmen für den normalen Benutzer hinaus. Dennoch gibt es Möglichkeiten für paralleles High-End-Computing durch Anwenden von Algorithmen und vielen Permutationen und Kombinationen, um eine der möglichen Eingaben herauszufinden, wenn Sie den Hash-Code haben ...!

 md5 Ausgabe: password123 = 482c811da5d5b4bc6d497ffa98491e38Password123 = 42f749ade7f9e195bf475f37a44cafcbpassword1234 = bdc87b 

Um den obigen Antworten ein zusätzliches Element hinzuzufügen - der ganze Punkt einer Hash-Funktion besteht darin, die Art von Informationen in der Frage nicht zu verlieren - wenn Sie irgendetwas em bestimmen könnten > über die Ähnlichkeit der Eingaben beim Vergleichen der Ausgaben, was einen Fehler der Hash-Funktion darstellt.

Es ist nicht nur so, dass Hash-Funktionen einen Job ausführen, und im Übrigen können Sie nichts über die herausfinden Eingaben besteht die Aufgabe der Hash-Funktion darin, Ihnen keine Informationen über die Eingaben zu geben. Wenn Sie durch Vergleichen zweier Ausgaben etwas über die Eingaben herausfinden könnten, würde dies gegen dieses Prinzip verstoßen.

Es hängt davon ab, welche Hash-Funktion Sie verwenden. Da Sie einen Kennwort-Hash und dann eindeutig keinen angegeben haben, möchten Sie niemals eine Hash-Funktion für Kennwörter verwenden, bei denen Informationen verloren gegangen sind. Der Hash sollte einfach übereinstimmen oder nicht übereinstimmen, und das war's.

Allerdings gibt es Hash-Funktionen, die Ähnlichkeitsinformationen bereitstellen. Weitere Informationen finden Sie in dieser Antwort.

Nein. Es sollte keine Beziehung zu den Daten geben, die in die Hash-Funktion eingegangen sind, und zu den Ergebnissen.

Hier ist beispielsweise 'Hallo' in MD5:

  5d41402abc4b2a76b9719d911017c592  

Und hier ist 'Hallo':

  8b1a9953c4611296a827abf8c47804d7  

Andere Benutzer haben einen großartigen Überblick über Hashing und den Lawineneffekt gegeben, daher werde ich nicht darauf eingehen!

Abhängig von den verwendeten Algorithmen kann möglicherweise berechnet werden, wie nah das Kennwort ist, und dies führt zu Kollisionsangriffen, mit denen das Kennwort schneller als mit brutaler Gewalt geknackt werden kann.

Soweit ich weiß, ist dies der Fall von MD4, das aufgrund solcher Fehler in Millisekunden geknackt werden kann. Ich habe den MD4-Exploit nicht analysiert, aber ich wette, dass eine Näherungsgleichung darin eingebettet ist.

Nehmen wir ein idiotisches Beispiel: eine Hash-Funktion, die die Summe der ASCII-Codes des Passworts ist. Das Passwort AB und BA haben den gleichen Hash 131. Wenn das echte Passwort AB ist, akzeptiert das System auch BA als echtes Passwort. Ein kleines Reverse Engineering zeigt eine Beziehung: a) Wenn Sie einen Buchstaben in den nächsten ändern, wird einer in den Hash eingefügt. b) Durch Hinzufügen eines neuen A zum Kennwort werden dem Hash 65 hinzugefügt. Und dann ist der Riss fertig. Das vom Crack zurückgegebene Passwort stimmt möglicherweise nicht mit dem vom Benutzer verwendeten überein, aber das System erkennt den Unterschied nicht.

Ja, das Ziel eines kryptografischen Hash-Algorithmus ist es, dies zu verhindern. Es sollte unvorhersehbar sein und daher rohe Gewalt erfordern. Funktioniert aber nicht immer wie erwartet. Mathematik ist unverzeihlich.

BEARBEITEN: MD4, MD5 und SHA1 sind aufgrund dieser Art von Angriffen inzwischen veraltet. Neue Algorithmen wurden entwickelt, um diese Schwachstellen zu vermeiden. Und die Passwortprüfung ist ein bisschen mehr als nur Hashing. Die Einführung neuer Algorithmen ist nicht so schnell wie wir wollen. Für ständig aktualisiertes Linux sollten die Basiskennwörter moderne Algorithmen verwenden. Aber ich wette, es gibt viele Systeme auf der Welt, auf denen mehr als 10 Jahre alte Software ausgeführt wird, da die neue Version des Betriebssystems möglicherweise nicht mit älteren Anwendungen kompatibel ist oder aufgrund der Lizenzkosten einfach ist, wenn kostenpflichtige Software verwendet wird. Ich wette, dass viele Software, deren eigene Passwortdatenbank vom System getrennt ist, eine schwache Sicherheit haben.

Ja, das können Sie, aber Sie müssen Hashes für Beinaheunfälle speichern und zuordnen, damit hier und da Arbeit und Ressourcen sowie mögliche Sicherheitsprobleme auftreten. Es ist zum Beispiel bereits jetzt möglich, das Klartext-Passwort "Versuche" auf einer Wordpress-Site zu sehen, wenn eines dieser Passwörter mit einem bekannten Passwort mit hoher Entropie von einem anderen Ort übereinstimmt, können wir feststellen, woher es möglicherweise durchgesickert ist. Es gibt natürlich Algorithmen zum Generieren von falsch eingegebenen Daten, und dies ist weithin bekannt, da URLs mit ähnlichen Rechtschreibfehlern besetzt sind. Sie müssten jedoch Punktzahlen zuweisen, um zu bestimmen, wie eng die Übereinstimmung sein könnte und wie nahe sie sein muss, bevor Sie sich befinden alarmiert. Wenn es sich um Wörter aus dem Wörterbuch handelt, können Sie sie im Wesentlichen nach Soundex oder ähnlichem ordnen.

Nicht durch einen Blick auf den Hash, nein.

Aber sie könnten ein paar tausend Passwörter, die sich in der Nähe des eingegebenen Passworts befinden, brutal erzwingen.

Vorausgesetzt natürlich, dass sie die Verteidigung einer Site gegen jemanden umgehen können, der zahlreiche Versuche unternimmt. Offensichtlich hat die Site selbst diese Fähigkeit, beispielsweise wenn sie überprüfen möchte, ob ein Passwort nur mit fetten Fingern versehen wurde, und es nicht auf die zulässige Anzahl von Versuchen angerechnet wird.)

Wie viele Versuche würde es dauern? ein Passwort mit n Zeichen?

Wie Sie sehen können, sind diese Zahlen nicht unerschwinglich groß, und eine solche Analyse ist möglich.