sciencetalk

ik heb geprobeerd zelf een systeem te ontwerpen dat een string codeert, het is wel in javascript, want van php ken ik niet zoveel functies

dit script heb ik in de bijlage gezet.

Volgens mij is de kans zeer klein dat hierbij twee strings dezelfde output krijgen, de toegelaten karakters kun je veranderen maar weet iemand of dit veilig is (tenminste als het in php staat, die maak ik later nog)

Nog veiliger zou zijn, de md5 waarde van de output in je database zetten; dan moet een hacker eerst een string vinden waarvan de output dezelfde md5 waarde heeft. de output word berekend op basis van lengte van de string en de plaats waar de karakters staan in de alphabet variabele, die kan een hacker dus niet teweten komen. Alleen bruteforcen zou kunnen helpen.

Er zitten nog bugs in, als je als enige teken a ingeeft dan is de output infinity en als je >14 a's ingeeft dan is de output altijd tien (maximum lengte van string beperken tot 10 zou oplossing zijn)

Het script staat nog niet in php maar werkt wel behoorlijk.

Het is inderdaad wel een mogelijkheid om alle mogelijk md5 uitkomsten voor een string van zekere lengte in een database oid te verwerken, en dan obv van die database een 'passend' wachtwoord te vinden voor een gegeven hash. Zgn rainbow tables zijn hier een uitwerking van.

Daartegen is echter ook heel simpel te beschermen, zonder dat je vaker moet hashen en andere narigheid: salting.

Je neemt dan $hash = sha1($salt . $password) en slaat zowel $salt als $hash op. Een random salt van een paar karakters lang maakt alle mogelijke aanval middels databases met hashes compleet onmogelijk. Dit wordt overigens al gedaan sinds unix (en eerder denk ik), dus niets bijzonders!

Interessant nieuwtje over MD5 wachtwoord...