Interesante el sitio, que quieren que les diga…

Por otro lado, ese tipo de cosas se pueden evitar, usando un “salt” como dijeron por ahí también. Se trata de “agregar” un valor arbitrario generado en tiempo de ejecución al hash con el fin de alterarlo. El hash se guarda alterado por dicho valor (o bien se utiliza un hash de campos concatenados), y al hacer la comparación se hace la operación inversa sobre el hash, quitándole el valor arbirario que se generó antes o haciendo la comparación con el hashing correspondiente alterado.

El único fin de esas técnicas es proteger la información en caso de que nuestras bases de datos caigan en malas manos, ya que si para generar los hashes se usara la función MD5 conocida sin ningún agregado, los password pueden ser crackeados fácilmente y leídos, con lo cual no sólo se arriesga la seguridad de la propia plataforma, sino que también en el caso de que el usuario utilice la misma password para su correo electrónico, cuenta bancaria u otros servicios, el atacante ganará acceso a ellos también.

JJajAJja, maestro!, ute tambien me hizo clases de lenguajes de programacion (LP) el semestre pasado y ahora me haces clases de hash!!!, ohh no kiero saber naaa mas despues de no haber pasado hashing lineal en almacenamiento y recuperacion de informacion (ARI)

k gusto saber k el profe rbonvall tb lee FW… saludos!

@Memo,
jajaja, buen lugar para reencontrarse Eso de usar Google como un directorio de hashes sí es novedoso, aunque es inútil si se siguen buenas prácticas para guardar passwords. Aquí hay un artículo interesante al respecto.

Impresionante: me ha dejado sin palabras.

Un saludete,

Paquito.
http://paquito4ever.blogspot.com

no era su propia página?

Ya lo habian puesto en Digg, ahora FW solo se la pasa copiando noticias del Digg y Slashdot…. perdon “traduciendolas”…

No lo tomen a mal, solo es que Asplote… (http://uncyclopedia.org/wiki/Asplode)

gracias por la aclaración en todo caso.

lo que implica que muuuuuuchos passwords pueden generar el mismo MD5

El hash no es del password, sino probablemente del nombre de usuario. Lo que pasa es que muchos sitios usan el hash en la URL de tu página de usuario. El «hacker» no obtuvo el password directamente del hash: simplemente encontró las páginas de usuario de la víctima en un par de sitios web, y de ahí obtuvo la información para adivinar el password. Podía haber logrado lo mismo consiguiendo información sobre la víctima con su vecino o con su cabro chico.

Es como encontrar al fotolog de alguien, ver que tiene imágenes de Garfield, probar a ver si su password es “garfield”, ¡y achuntarle! Ningún mérito ni de Google ni del hacker, sino estupidez de la víctima.

es decir puede ser que el password del tipo no haya sido “Anthony” sino solo que ese String generó la misma secuencia de caracteres que el password que ingreso el otro tipo.

Si bien dos textos pueden tener el mismo hash, encontrar uno a partir del otro es extremadamente improbable. Y en criptografía, extremadamente improbable suele significar «te demorarías más que la edad del universo».

@Tricky:

Cuando este tipo buscó el string (secuencia) de la clave encriptada

Un hash no es encriptación. Es una transformación de un texto. Probablemente del nombre de usuario de nuestro experto en seguridad.