URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 78186
[ Назад ]

Исходное сообщение
"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."

Отправлено opennews , 22-Июн-11 14:57 
В библиотеке crypt_blowfish 1.1 (http://www.openwall.com/crypt/), используемой для хэширования паролей в таких дистрибутивах, как ALT Linux, Owl и SUSE, а а также для генерации хэшей в PHP 5.3.0+, исправлена ошибка (http://www.openwall.com/lists/announce/2011/06/21/1), присутствовавшая в коде на протяжении 13 лет и заметно снижавшая стойкость паролей, содержащих восьмибитовые символы. Проблема была выявлена (http://www.openwall.com/lists/john-dev/2011/06/20/3) в процессе тестирования эффективности John the Ripper - разработчики  тестового комплекта обратили внимание, что для генерируемого с одними и теми же параметрами пароля, хэш функция отличается для реализаций bcrypt в OpenBSD  и библиотеке crypt_blowfish.

Проблема проявляется (http://www.openwall.com/lists/oss-security/2011/06/20/2) в crypt_blowfish при использовании в тексте пароля восьмибитовых символов, например, русских букв. Примерно 3 из 16 паролей, содержащих один восьмибитовый символ теряют при генерации хэша 3 преды...

URL: http://www.openwall.com/lists/announce/2011/06/21/1
Новость: http://www.opennet.me/opennews/art.shtml?num=30953


Содержание

Сообщения в этом обсуждении
"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено anon8 , 22-Июн-11 14:57 
Нечего пароли из русских букв составлять.

"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено Аноним , 22-Июн-11 15:30 
А из китайских можно?

"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено Michael Shigorin , 22-Июн-11 16:46 
Восьмибитных.

"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено Anonymouse , 22-Июн-11 18:06 
Всё таки OpenBSD - рулез!

PS: Не во всём конечно, но всё же :)


"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено анон , 22-Июн-11 18:11 
При чём тут опенбсд?
Это весьма типичная ошибка. Проблема собственно в том, что если двоичное число 1111 1111 считать имеющее знак (signed char), то при расширении его до 16 бит это будет число 1111 1111 1111 1111, а если без знака (unsigned char), то 0000 0000 1111 1111. В этом и ошибка по теме.

"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено Аноним , 23-Июн-11 05:47 
>При чём тут опенбсд?
>>"хэш функция отличается для реализаций bcrypt в OpenBSD и библиотеке crypt_blowfish."

Переводил правда какой то деревянный - вот оригинал от самого Solar Designer'a":
"The impact of this bug was that most (but not all) passwords containing non-ASCII characters with the 8th bit set were hashed incorrectly, resulting in password hashes incompatible with those of OpenBSD's original implementation of bcrypt."

Как ты видишь этой "весьма типичной ошибки" в опенке нет.


"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено Аноним , 23-Июн-11 07:37 
>>При чём тут опенбсд?
>>>"хэш функция отличается для реализаций bcrypt в OpenBSD и библиотеке crypt_blowfish."
> Переводил правда какой то деревянный

Не переводил деревянный, а квотил деревянный, там фраза совсем из другого контекста и как раз о том, что результат выполнения bcrypt в OpenBSD и crypt_blowfish не совпадает:

"Проблема была выявлена в процессе тестирования эффективности John the Ripper - разработчики  тестового комплекта обратили внимание, что для генерируемого с одними и теми же параметрами пароля, хэш функция отличается для реализаций bcrypt в OpenBSD и библиотеке crypt_blowfish."


"Доступен crypt_blowfish 1.1 с устранением уязвимости, упроща..."
Отправлено solardiz , 25-Июн-11 01:02 
Во-первых, хочу еще раз извиниться за эту нелепую ошибку и за то что мы ее не обнаружили раньше.

Во-вторых, я вносил некоторые правки в текст новости уже после ее публикации, т.к. последствия проблемы все еще исследовались. Вот как именно она проявляется для русских слов в koi8-r и utf-8 (очень по-разному): http://www.openwall.com/lists/oss-security/2011/06/24/1 (в текст новости эта ссылка тоже добавлена, но думаю ее мало кто заметил).