jelszókezelés :
vannak feltörhetetlen megoldások , de az emberek nem ismerik oket ezért nem is használják

hackmageddon.com --> security timeline
az interneten az összes nagyobb incidens gyujtohelye

tárolás , szállítás , elméleti hibák

tárolás :

plain text : meg kell bíznod az üzemeltetoben --> az üzemelteto adminisztrátorai is hozzáférhetnek a jelszavadhoz így az adataidhoz is

titkosított jelszó : visszafejtéshez szükség van : kulcs , inicializáló vektor
le kell tárolni a jelszót és a kulcsot

megoldás : eredeti jelszóból generáljuk az inicializáló vektort és a kulcsot futás idoben
és így nem

blokk titkosítás --> csak egy bizonyos blokk mérettel tud dolgzoni --> ki kell paddolni a jelszót --> lehet következtetni a többi részre is h abból mi keletkezik
nincs rá tökéletes megoldás , túl sok sérülékenység marad utána


HASHelt jelszó :
Só : egy random karakter sorozatot hozzá keverünk a hash-hez --> ha 2 embernek ugyanaz a jelszava a Só által mégis más lesz a HASH
elonye : ha ellopják a Hash-t és a Só-t is akkor is a jelszavunkra van szükség --> bruteforce-olni kell

Hash törése :

brute force(minden kombináció ) ,

dictionary(szótár alapon , valszínubb h értelmes szó van a jelszóban) ,

lookup table (ha egyszer kiszámoltunk egy hash-t akkor azt letároljuk így nem kell minden alkalommal , baromi nagy tárolókapacitás ) --> a Só miatt nem az lesz a Hash--> nem használható --> csak futás ideju törés használható , felhasználóként kell jelszót törni

szivárvány tábla ( hash és szó láncok sorozatából épül fel , csak az elejét és végét kell eltárolni , a közbenso értékeket nem --> ha 1 millió hosszú a lánc akkor 1 millióval osztódik a tároló kapacitás )

Hash hátránya :
a jelszavak egyezése nem egyértelmu --> ha találsz egy ütközést akkor be lehet lépni



Elvi hibák :

személyes adat és jelszó közti kapcsolat :
ha ugyanaz a jelszó mint a felhaszánónév egy egyszeru lekérdezéssel megkapható :

select * from 'users' where 'password' = MD5('username');

a jelszavam ezért nem kapcsolódhat semmilyen személyes információhoz


ugyanazt a Sót használják mindenütt
túl rövid Só
dupla vagy trükkös hasítás --> nem jobb , ugyanúgy csak ütközést kell keresni


Brute force mindig eredménnyel jár , csak a kérdés hogy mennyi ido alatt

eros jelszóházirenddel lehet ellene védekezni  :
hamming távolság , case sensitive implementáció ( pl mysql string comparálás nem key-sensitive ! ) , minimális jelszó változtatási ido

usernek jelszavak :
kedvenc idézet minden szavának az elso betuje + 1, 2 szám
kiejtheto jelszó generátor


PBKDF2 :
standardizált eljárás
hashelés , Só --> több iteráción keresztül

elonye : nagy processzor ido kell hozzá :
hátránya : kevés memória igény --> cél hardverrel hamar törheto


Bcrypt , Scrypt :
hasonló mint a PBKDF2
viszont nagyobb a memóriaigény --> így ellenállnak a töréseknek
ez a jelszótárolás csúcsa --> jelenleg nem törheto

(pl 2012-ben kikerültek battle.net-es jelszavak de mivel Bcrypt-el votl letárolva azóta sem kerültek ki , valszeg nem sikerült megtörni )