🈯️ 🍽️ 🛂 घर में रेनबो टेबल 👈🏽 ♓️ 🤜🏼

सूचना सुरक्षा के दृष्टिकोण से, पिछला सप्ताह असाधारण रूप से "सफल" रहा: या तो लिंक्डइन हैश आधार नेटवर्क में लीक हो गया, या अंतिम.फैम हैश । और सभी चर्चाओं में, एक तरह से या किसी अन्य, वे इंद्रधनुष तालिकाओं का उल्लेख करते हैं।
लगभग सभी ने उनके बारे में सुना, लेकिन बहुत कम लोगों ने उन्हें अपने हाथों से बनाया।

मुझे लगता है कि हैश क्या है और क्यों, इस बारे में फिर से बात करना समझदारी नहीं है, सिद्धांत रूप में, इंद्रधनुष की तालिकाओं या कुछ अन्य पूर्वसंक्रमण की आवश्यकता होती है। सफेद धब्बों को खत्म करने के लिए, इस विषय को पढ़ना प्रस्तावित है।

आज इंद्रधनुष की तालिकाओं के क्षेत्र में कोई योजनाबद्ध बौद्धिक सफलता नहीं है, लेकिन यह बताने की इच्छा है कि इंद्रधनुष सारणी कठिन नहीं है, इसलिए हम कुछ सरल, अर्थात्: PHP पर लिखेंगे। MySQL में टेबल स्टोर करें।

सभी कोड GoogleCode पर उपलब्ध है, लेकिन मैं उन मुख्य बिंदुओं का वर्णन करूंगा जिनके बारे में मुझे सोचना था और जिन्हें लागू करने की आवश्यकता है।

सबसे पहले आपको इनपुट वर्णमाला के बारे में बात करने की आवश्यकता है। पासवर्ड सेट में तालिका के सभी ASCII वर्ण भाग नहीं लेते हैं, लेकिन केवल उन लोगों को टाइप किया जा सकता है जो अनावश्यक ट्रिक्स के बिना पीसी या मोबाइल डिवाइस के कीबोर्ड पर टाइप किए जा सकते हैं। इनपुट वर्णमाला जितनी छोटी होगी, उतनी ही तेजी से इंद्रधनुष तालिका उत्पन्न होगी, लेकिन दिए गए हैश के लिए पासवर्ड कम होंगे। हमारे मामले में, हम ऊपरी और निचले मामले के लैटिन वर्णमाला की संख्या और अक्षरों के इनपुट वर्णमाला का उपयोग करेंगे।

$ALPHABET = array_merge(range(0, 9), range('A', 'Z'), range('a', 'z')); $LAST_SYMBOL = count($ALPHABET) - 1; //

एक इंद्रधनुष तालिका बनाने के लिए, जंजीरों का उपयोग किया जाता है, जिनमें से शुरुआत एक निश्चित लंबाई का कुछ यादृच्छिक पासवर्ड है। जाहिर है, आपको वर्णमाला के वर्णों से यादृच्छिक पासवर्ड उत्पन्न करने के लिए एक फ़ंक्शन की आवश्यकता है:

 define('WORD_LENGTH', 6); //  ,      function getWord($newRandom = false) { global $ALPHABET, $LAST_SYMBOL; if($newRandom) { mt_srand(); } $word = $ALPHABET[mt_rand(0, $LAST_SYMBOL)]; for($i = 1; $i < WORD_LENGTH; ++$i) { $word .= $ALPHABET[mt_rand(0, $LAST_SYMBOL)]; } return $word; }

चेन के अंदर, हैश फ़ंक्शन को वैकल्पिक रूप से लागू किया जाता है, फिर कमी फ़ंक्शन। हैश फ़ंक्शन के साथ सब कुछ स्पष्ट है - यह एमडी 5, एसएचए 1 या कोई अन्य (हमारे मामले में, हम एमडी 5 का उपयोग करेंगे)। एक कमी समारोह के साथ, स्पष्टता कम है। सबसे पहले, कमी फ़ंक्शन, इनपुट पर एक हैश प्राप्त करने के बाद, इनपुट वर्णमाला के पात्रों से कुछ पासवर्ड का उत्पादन करना चाहिए। दूसरे, कमी फ़ंक्शन को न केवल एक की आवश्यकता होती है, बल्कि कम किए गए फ़ंक्शन का एक सेट सेट होता है, और इस सेट की शक्ति श्रृंखला की लंबाई के बराबर होती है।

बेशक, एक व्यक्ति दो या तीन कमी कार्यों को स्वतंत्र रूप से लिख सकता है, लेकिन उस स्थिति में नहीं जब श्रृंखला की लंबाई 100 या 1000 हो। इसके अलावा, मैं चाहूंगा कि श्रृंखला की लंबाई स्थिर रूप से संग्रहीत की जाए, जिसे हाथ की थोड़ी सी गति के साथ बदला जा सकता है।

एक काफी स्पष्ट समाधान दिमाग में आता है: आपको Pseudorandom Number Generator (PRNG) का उपयोग करने की आवश्यकता है। प्रत्येक विशिष्ट कटौती फ़ंक्शन के लिए, इनपुट में प्रवेश करने वाले हैश से बिट्स के एक विशिष्ट सेट के साथ PRNG को इनिशियलाइज़ करें और फिर गेटवॉर्ड () कॉल का उपयोग करके पासवर्ड प्राप्त करें।

सिद्धांत रूप में, व्यक्तिगत बिट्स के स्तर पर अभिनय की आवश्यकता नहीं है। PRNC को कई प्रकार के int के साथ आरंभ करने की आवश्यकता है, मेरे मंच के लिए यह 32 बिट्स या 4 बाइट्स है। MD5 में 16 बाइट्स होते हैं (PHP में md5 फ़ंक्शन के दूसरे पैरामीटर को देखें), फिर संभावित आवंटन की संख्या 16 है! / (16 - 4)! = 43680 - 1000 की चेन लंबाई के लिए भी एक मार्जिन के साथ पर्याप्त है।

जल्द से जल्द नहीं कहा:

 define('CHAIN_LENGTH', 1000); //       define('HASH_LAST_BYTE', 15); //    ,   0 ( MD5 – 15) $reductions = array(); // ,         mt_srand(CHAIN_LENGTH); //    ,                 $i = 0; while($i < CHAIN_LENGTH) { $positions = array(); $positions[] = mt_rand(0, HASH_LAST_BYTE); for($j = 1; $j < 4; ++$j) { do { $ind = mt_rand(0, HASH_LAST_BYTE); if(!in_array($ind, $positions)) { $positions[] = $ind; break; } } while(true); } if(!in_array($positions, $reductions)) { //    $reductions[] = $positions; ++$i; } }

फिर रिडक्शन फंक्शन ही है, जो हैश और चेन में वर्तमान चरण की संख्या लेता है, इस तरह दिखेगा:

 function reduction($hash, $step) { global $reductions; $pos = $reductions[$step % CHAIN_LENGTH]; mt_srand(ord($hash[$pos[0]]) | ord($hash[$pos[1]]) << 8 | ord($hash[$pos[2]]) << 16 | ord($hash[$pos[3]]) << 24); return getWord(); }

उपरोक्त को देखते हुए, इसकी शुरुआत में श्रृंखला के अंत की गणना करने का कार्य तुच्छ है:

 function getEndOfChain($word, $startStep = 0, $length = CHAIN_LENGTH) { for($i = $startStep; $i < $length; ++$i) { $hash = md5($word, true); $word = reduction($hash, $i); } return $word; }

बधाई हो, हमने बहुत अच्छा काम किया, और किसी दिए गए हैश के लिए पासवर्ड खोजने का केवल एक पहलू था, जिसके बारे में आपको बात करने की आवश्यकता है।

क्लासिक संस्करण में, हैश से अंतिम nth कमी फ़ंक्शन लिया जाता है और परिणामी पासवर्ड इंद्रधनुष तालिका में खोजा जाता है, यदि कुछ नहीं मिला, n-1 कमी ली गई है, तो हैश की गणना की जाती है, फिर nth कमी तालिका में खोज की जाती है, और इसी तरह, जब तक कि एक पासवर्ड है MySQL का उपयोग करते समय, यह एक ही प्रकार (सबसे खराब स्थिति में) का चयन कर सकता है - यहां तक कि एक नौसिखिया वेब प्रोग्रामर भी जानता है कि आप हाथ पर क्या प्राप्त कर सकते हैं! बेशक, एक पासवर्ड के लिए खोज करने के लिए एक चयन पर्याप्त है, लेकिन इसके लिए आपको एक बार में खोज करने के लिए सभी पासवर्ड उत्पन्न करने की आवश्यकता है:

 function getWordsInChain($hash) { $words = array(); //        100, 99, 98   for($i = 0, $n = CHAIN_LENGTH; $i < $n; ++$i) { $wordStart = reduction($hash, $i); $wordEnd = getEndOfChain($wordStart, $i + 1); $words[] = $wordEnd; } return $words; }

अन्य सभी MySQL जोड़तोड़ सीधे इंद्रधनुष तालिकाओं से संबंधित नहीं हैं, और स्रोत कोड के अन्य भागों, मेरी राय में, स्पष्टीकरण के बिना समझ में आते हैं।

और अंत में, मरहम में एक मक्खी। PHP और MySQL जल्दबाजी में प्रोटोटाइप बनाने का एक बड़ा काम करते हैं, लेकिन PHP वास्तव में सबसे तेज़ भाषा नहीं है और एक सामान्य-उद्देश्य वाले रिलेशनल DBMS में इंद्रधनुष तालिका को संग्रहीत करना सबसे प्रभावी समाधान नहीं है। 2 मिलियन रिकॉर्ड में से 1000 की श्रृंखला लंबाई के साथ 6-वर्ण पासवर्ड के लिए एमडी 5 के लिए एक इंद्रधनुष तालिका, i3-330UM- आधारित लैपटॉप 8 घंटे से अधिक उत्पन्न करता है। आदर्श रूप में, परिणामी तालिका 2 * 10 ^ 9 हैश को उलट सकती है, लेकिन यह संख्या कुल 6-वर्ण पासवर्डों के साथ कम्यूट नहीं है, जिनमें से चयनित इनपुट वर्णमाला में 56.8 * 10 ^ 9 है।

यह एक बार फिर दिखाता है कि किसी विशेष समस्या को हल करने के लिए सही उपकरण चुनना कितना महत्वपूर्ण है।
मुझे लगता है कि मैं फिर भी PHP के साथ इंद्रधनुष तालिकाओं को लागू करने के सिद्धांत को स्पष्ट रूप से प्रदर्शित करने की समस्या को हल करने में कामयाब रहा।

आपका ध्यान देने के लिए धन्यवाद।

घर में रेनबो टेबल

More articles: