Вот и конец MD5

Ждём:

1) готовую ломалку
2) Blowfish в Slackware
3) Blowfish в MySQL
4) Blowfish ещё кое-где :)

ну может и не конец, но статья познавательная ;)

> ну может и не конец

Для контроля скачанных файлов -- не конец. Для криптографии -- конец.

ВАУ... обидно, плохо сейчас еще не первое апреля :(

Это просто праздник какой-то. И куда теперь бежать?

>Для контроля скачанных файлов -- не конец.

Если ты подписи файлов проверяешь. Иначе при скачивании с левого зеркала тебе могут подсунуть заведомо нерабочий файл, если ты сверяешься только с *.md5 с главного сервера.

> ВАУ... обидно, плохо сейчас еще не первое апреля :(

Да уж. Можно было бы хорошо над самоуверенным народом постебаться. ;)

> Если ты подписи файлов проверяешь. Иначе при скачивании с левого зеркала тебе могут подсунуть заведомо нерабочий файл, если ты сверяешься только с *.md5 с главного сервера.

Разницы между сверкой контрольных сумм и проверки ЭЦП вроде бы нету. И там и там получают хеш и сравнивают с эталоном.

Вроде в Российском алгоритме ЭЦП используется другой алгоритм хэширования? Тогда живём ещё. :)

А вообще круто. SSH медным тазом накрылась, чем на серваки теперь заходить?

>1) готовую ломалку

А можно ли написать по той PDF-ке?

>2) Blowfish в Slackware

В SUSE тоже. В GRUB - нет. Однако, если получил доступ для чтения к /etc/shadow, скорее всего и для записи, тогда несложно с помощью руткита узнать пароли для вновь залогинившихся юзеров, а также для зашифрованного файла/раздела харда.

>Разницы между сверкой контрольных сумм и проверки ЭЦП вроде бы нету. И там и там получают хеш и сравнивают с эталоном.

Но там вроде не MD5?

> Но там вроде не MD5?

Там может быть любая хеш-функция. И MD5 в том числе.

>SSH медным тазом накрылась, чем на серваки теперь заходить?

это еще почему? в ssh низя криперы выбирать?

Может я что-то недопонял.. Но как можно md5 заменить на blowfish ?

> это еще почему? в ssh низя криперы выбирать?

Если я правильно понял, то хэши sha устроены похожим в принципе образом, и хотя взломали только md5, то и его тоже можно.

http://www.infosec.sdu.edu.cn/paper/md5-attack.pdf

полезно почитать

> Это просто праздник какой-то. И куда теперь бежать?

На CRC-128

Поздно бежать... Сдается мне, вот и конец SSL-сертификатам... Для того, чтобы их вновь сделать хоть сколь нибудь заслуживающими доверия придется менять все броузеры таким образом, чтобы они не верили в md5.

Как вы думаете, дети, хорошо ей тогда было? (с) "Семейка Адамсов"

Ииии что ?
Всем боятся два часа потом вешаться на витой паре в серверной, кто не имеет доступа к серверной вешается на своем рабочем месте...

Для начала доступ к shadow надо получить.

Ну придумают новый алгоритм и будут его ломать...
А пока они будут его ломать мы будем в нем пароли хранить...

Если пользуешся NIS для авторизации, то и shadow получается легко

> Если ты подписи файлов проверяешь. Иначе при скачивании с левого зеркала тебе могут подсунуть заведомо нерабочий файл, если ты сверяешься только с *.md5 с главного сервера.Если ты подписи файлов проверяешь. Иначе при скачивании с левого зеркала тебе могут подсунуть заведомо нерабочий файл, если ты сверяешься только с *.md5 с главного сервера.

Мало подсунуть нерабочий файл, надо, чтобы он был рабочим, но не таким, как исходный. Думаю, практически невозможно - обеспечить тот же размер файла, обеспечить наличие в нём незаметного эксплойта, и при этом обеспечить коллизию по MD5.

Кто разбирается в криптографии, растолкуйте. Я понял, что можно сгенерить сразу два сертификата с одинаковым md5. Разве это значит, что, имея чужой сертификат, можно по нему сгенерить свой с коллизией? По-моему, это разные вещи.

> А вообще круто. SSH медным тазом накрылась, чем на серваки теперь заходить?

Ну уж и накрылась. Поменять алгоритм, чтоб выдавал новые билеты раз в минуту, и всё. Пусть ломают - на это, кажется, 8 часов надо?

> Кто разбирается в криптографии, растолкуйте. Я понял, что можно сгенерить сразу два сертификата с одинаковым md5. Разве это значит, что, имея чужой сертификат, можно по нему сгенерить свой с коллизией? По-моему, это разные вещи.

Все не просто, а очень просто:
когда мы подписываем некий файл мы на самом деле подписываем его хэш-значение, поскольку работать с самим файлом неудобно и вычислительно дорого.
Благодаря данной статье ты можешь получив файл с подписью в течении рабочего дня создать свой файл, с точно таким же хэшем, то есть проверка подписи пройдет одинаково успешно как у оригинального файла, так и у твоего.
А уж тчо в нем будет - приказ о повышении или команда на запуск ракет - дело твоей фантазии :)

Странно, на /. об этом еще ничего не знают. Из статьи действительно не совсем понятно, можно ли сгенерировать сообщение по md5 или по известному сообщению, так чтобы их md5 совпадали. Если данный метод предполагает, что атакующий будет генерировать оба сообщения, то нечто подобдное недавно нашли и в SHA-1 http://it.slashdot.org/article.pl?sid=05/02/19/1424201&tid=93&tid=172...

> Благодаря данной статье ты можешь получив файл с подписью в течении рабочего дня создать свой файл, с точно таким же хэшем, то есть проверка подписи пройдет одинаково успешно как у оригинального файла, так и у твоего. > А уж тчо в нем будет - приказ о повышении или команда на запуск ракет - дело твоей фантазии :)

Ну так ведь хэш зависит от содержания файла. То есть к хэшу подбирается требуемое фальшивое содержание файла. По-моему, практически невозможно обеспечить, чтобы это фальшивое содержание было бы ещё и осмысленным.

Конец - это чье-то начало... (Высоцкий)

Хм, я конечно не скажу, что уж я такой суперный спец в крипто (и вообще спецом по сабже назвать себя язык не повернётся), но чего-то я не слышал, чтобы где-нибудь в документообороте с ЭЦП применялись md5-хэши (по крайней мере в России). Так, что здесь паниковать рано. Файлы будем подписывать sha256, а для ssl сертификат сменить, имхо, как два пальца -- от пользователя нужна только пара щелчков мышью :)

PS: Мне понравилось: I never trusted Boromir anyway -- Бедные израильские военные... :))))

PSS: Брюс классный мужик -- уважаю. Особенно прикалывают его буквари, где он пишет, что все, кроме blowfish, ерунда :)))

Дык в этом и смысл поиска коллизий.

> По-моему, практически невозможно обеспечить...

Поверьте, что практически -- это возможно. Это возможно на самом деле даже теоретически. Просто с каждым разом для этого нужно все меньше и меньше вычислительных рессурсов.

batrag ? secunia ? securityfocus ?

Ну если речь едет об исполняемых файлах, то "мусор" добаленный к какой-нить вредоносной проге, чтобы ее MD5 сошлось, никак не будет заметен невооруженным глазом. А у Solaris если мне не изменяет память все программные пакеты сверяются по MD5.

Думаю, когда конкретные программные реализации или методы фишинга с поддельными сертификатами появятся, тогда и batrag с securityfocus запестрят.

АААААААаааа мы все умрем %))

и что? они умудрятся сделать валидный тарбол с такой же суммой? три раза ха. а в криптографии давно уже sha1 для подписи используется. вон для CD crc32 емнип используется для проверки данных и что то не слышно чтобы все бежали его на чтото другое менять несмотря на то что вероятность коллизий там поболе

> а в криптографии давно уже sha1 для подписи используется.

"в криптографии" ничего не используется. криптографы разрабатывают и анализаруют алгоритмы, а используются они в програмных и аппаратных реализациях.

ага. а также написать вирус который вводит в резонанс головки винта и разрушает гравитационными волнами корпус с начинкой.

ну хватит народ пугать. из хеша ты никаким боком не сможешь восстановить оригинальные данные! в случае хеша мы имеем иньективное отображение.

зы. у вас дискретка когда?

Да кстати а при чем тут shadow ?

Пароли то вы не взломаете ))
Вы сможете только подобный хеш создать и если даже сможете его в shadow подставить, но в систему от этого пользователя всеравно не зайдете.
Пароля то оно вам не даст...

> Вы сможете только подобный хеш создать и если даже сможете его в shadow подставить, но в систему от этого пользователя всеравно не зайдете.

Почему это не зайду, если у меня будет пароль дающий хэш прописанный в системе, мне его доcтаточно чтоб войти в систему ;)

Ждем MD6?

МД5 работает, работал и еще долго будет работать. Я так понял, что восстанавливать информацию по хэшу и известному ключу еще никто не научился. Восемь часов уже прошло, ничего глобального не случилось. Через недельку поправят алгоритм, назовут МД6 :)

Мляха, реально десктопу однопользовательскому угроза есть? При каких условиях и как от этого избавится? Или все это касается серверов?

>Почему это не зайду, если у меня будет пароль дающий хэш прописанный в системе, мне его доcтаточно чтоб войти в систему ;)

О блин, кулцхакеры... Дайте кто нить мне доступ к Вашему shadow и я стану Вашим рутом безо всяких гемороев с мд5.

МД5 обеспечивает ОДНОСТОРОННЕЕ шифрование таким макаром чтобы по известному ключу никто информацию из хеша не добыл иначе как методом прямого перебора. И с этим он справляется на отлично. А если его кто не так использует -то это его проблемы.

>>>Почему это не зайду, если у меня будет пароль дающий хэш прописанный в системе, мне его доcтаточно чтоб войти в систему ;)

Полностью согласен - при логине сверяем не пароли, сверяем хэши.

>>О блин, кулцхакеры... Дайте кто нить мне доступ к Вашему shadow и я стану Вашим рутом безо всяких гемороев с мд5.

ой чтоли правда? так таки станешь? и каким же образом, позвольте спросить? вот я ниже привел фразу, твою фразу!, которая объясняет, что не станешь.

>> МД5 обеспечивает ОДНОСТОРОННЕЕ шифрование таким макаром чтобы по известному ключу никто информацию из хеша не добыл иначе как методом прямого перебора. И с этим он справляется на отлично. А если его кто не так использует -то это его проблемы.

>О блин, кулцхакеры... Дайте кто нить мне доступ к Вашему shadow и я стану Вашим рутом безо всяких гемороев с мд5.

О блин, Великий и Ужасный... Пожалуйста:

root:$1$bB6RQ4Dl$2edasvMLyj.y/X2ZjYoik0:12713:0:99999:14:::

Могу сразу предупредить, рутовый пароль длиннее 12 символов и в нем использованы цифры, буквы в обоих регистрах, плюс спецсимволы.

Флаг, как говорится, в руки.

> МД5 обеспечивает ОДНОСТОРОННЕЕ шифрование таким макаром чтобы по известному ключу никто информацию из хеша не добыл иначе как методом прямого перебора. И с этим он справляется на отлично. А если его кто не так использует -то это его проблемы.

Если я правильно понимаю, то теперь вместо "методом прямого перебора" можно "за 8 часов на 1.6GHz компьютере". А если это будет гораздо более мощный комп...

Человек наверное имел в виду права на запись в ваш shadow :)))) в этом случае действительно никаких избыточных телодвижений не нужно :)

>МД5 обеспечивает ОДНОСТОРОННЕЕ шифрование таким макаром чтобы по известному ключу никто информацию из хеша не добыл иначе как методом прямого перебора. И с этим он справляется на отлично. А если его кто не так использует -то это его проблемы.

по-моему, новость как раз про то, что тупой перебор делать не надо :)

>>Для контроля скачанных файлов -- не конец.

>Если ты подписи файлов проверяешь. Иначе при скачивании с левого зеркала тебе могут подсунуть заведомо нерабочий файл, если ты сверяешься только с *.md5 с главного сервера.

Хм... А почему бы не использовать несколько признаков для контроля: размер, md5, crcXX, ну и скажем md5 от каждого второго символа? Это возведет сложность задачи в квадрат, грубо говоря.

Т.е. строка s="эту строку нельзя подделать" сопровождается числами md5(s), 27, crc(s) и md5("эусрк еьяпдаь").

Кстати, создать валидный архив с тем же ключом будет посложнее, чем просто набор символов -- не любой мусор корректно распакуется.

Достаточно найти *любой* пароль (можно даже из "трёх" букв) который даст такой же хэш.

PS: Hint -- замените $1$bB6RQ4Dl$2edasvMLyj.y/X2ZjYoik0 на * :)))

cat musor >> some.bz2

bzip2 -d some.bz2

Распаковалось успешно :) Так что просто тупо добавляем мусор в конец сжатого файла.