Quale sistema per codificare la password?

[mld]

Dalle guide vedo che i metodi per codificare le password in php sono md5 e sha1.

Ora siccome ho letto un intervento di risposta che diceva "dubito che ci sia ancora qualcuno che usa md5 per codificare le password" chiedo:

1) sha1 è "migliore" di md5?
2) esiste qualche metodo alternativo?

Grazie

[mld]

Qualche intervento?

[Razorblade]

Anche io ho letto quella frase in un post, si vede che non sono aggiornato, io continuo ad usare md5. Ok, esistono i vari motori che fanno il reverse engineering sulle stringhe md5, ma se unisci le password ad un 'salt' ( un'altra stringa, possibilmente complessa ) e poi le passi ad md5() non credo sia così semplice trovare la password.

Metodo tra l'altro visto in alcuni libri php anche recenti, purtroppo non ricordo esattamente quale.

[dottwatson]

Originariamente inviato da Razorblade
Anche io ho letto quella frase in un post, si vede che non sono aggiornato, io continuo ad usare md5. Ok, esistono i vari motori che fanno il reverse engineering sulle stringhe md5, ma se unisci le password ad un 'salt' ( un'altra stringa, possibilmente complessa ) e poi le passi ad md5() non credo sia così semplice trovare la password.

Metodo tra l'altro visto in alcuni libri php anche recenti, purtroppo non ricordo esattamente quale.

sono curioso.. quale motore è in grado di decodificare md5 ?

[Razorblade]

Ho dato per scontato alcune cose e mi sono espresso male...
Per motore intendo nient'altro che quei sistemi che possiedono dei database con le coppie stringa -> hash md5 o altro. Comparando gli hash si ottiene la stringa.
http://www.google.it/search?q=md5+re...ient=firefox-a

chiaro?

[oronze]

anche io son curioso....da quello che sò io è che l'md5 è una hash function ciò significa che converte il valore passato in una hash string...di conseguenza credo che l'unico modo per codificarla sia usare un dizionario e calcolare l'md5

$dizionario = dizionario con milioni di parole
foreach($dizionario as $d)
if (md5($d) == $valore_da_calcolare) echo("trovata");

ma basta che il valore_da_calcolare non sia presente nel dizionario e la stringa non è calcolabile...e in ogni caso più è grande il dizionario e mooooooooooolto + tempo ci vorrà per la "decodifica"

[Razorblade]

ma l'hai letta la mia risposta?

[Razorblade]

Originariamente inviato da oronze
anche io son curioso....da quello che sò io è che l'md5 è una hash function ciò significa che converte il valore passato in una hash string...di conseguenza credo che l'unico modo per codificarla sia usare un dizionario e calcolare l'md5

$dizionario = dizionario con milioni di parole
foreach($dizionario as $d)
if (md5($d) == $valore_da_calcolare) echo("trovata");

ma basta che il valore_da_calcolare non sia presente nel dizionario e la stringa non è calcolabile...e in ogni caso più è grande il dizionario e mooooooooooolto + tempo ci vorrà per la "decodifica"

Ma poi scusa, se hai 1 miliardo di hash devi ciclarteli tutti per trovare il corrispondente? Una semplice select no?

[dottwatson]

Originariamente inviato da Razorblade
Ho dato per scontato alcune cose e mi sono espresso male...
Per motore intendo nient'altro che quei sistemi che possiedono dei database con le coppie stringa -> hash md5 o altro. Comparando gli hash si ottiene la stringa.
http://www.google.it/search?q=md5+re...ient=firefox-a

chiaro?

un mare di differenza

un discorso è confrontare e uno e decodificare

e cmq realmente mi incuriosiva la cosa se davvero fossero riusciti a farlo in tempi brevi... dico questo perchè mi ricordo che tempò fa girò la notizia secondo cui riuscirono a decodificare un md5, ma con risorse e tempi immensi

[Razorblade]

Come ho già detto nella risposta, scrivendo "reverse engineering" mi sono spiegato male. Il problema è che ogni occasione per certe persone è buona per fare i perfettini, tra l'altro andando Off Topic o dicendo assurdità. Qui si sta parlando se md5 è sicuro o meno.

Il punto è che da un hash md5 è possibile ricavarsi la parola corrispondente, soprattutto se è comune. E come ben sapete la gente comune che non ne sa un'accidenti di queste cose usa parole comuni come password.

Quindi la mia proposta, unisci la password ad un'altra stringa.