SECRET_KEY 好像是用来加密的
如果这个东西不泄漏
数据库被人拖走了
那么 密码被破解的几率大吗
攻击者有什么办法 最大可能的尝试破解密码呢
1
ryd994 2015-10-20 09:43:25 +08:00 1
SECRET_KEY 不就是一个固定的“盐”么
用了等于没用 |
2
zander 2015-10-20 09:45:14 +08:00 via iPhone 1
没什么意义,要以最坏的打算来预估对方的算力。
|
4
Zzzzzzzzz 2015-10-20 09:53:29 +08:00 1
SECRET_KEY 涉及的是 cookie 的加密, 和 auth 无关, auth 的密码是随机 hash 算法+随机 hash 次数+随机 salt
|
5
ryd994 2015-10-20 09:53:50 +08:00 1
@watzds
聪明一点的人就自己注册一个用户,从库里找到自己密码,然后穷举 SECRET_KEY 就行了 且不说网上是有常见密码的带盐字典的, 如果我没有记错, django 用的是 sha1 还是 md5 ,这两个都超快,临时暴力做个字典也是可以的 |
6
QQ1685425675 OP @Zzzzzzzzz 哦哦谢谢 也就是说, django 的安全性还是很高的 对吗
|
7
messense 2015-10-20 09:56:39 +08:00
@ryd994 By default, Django uses the PBKDF2 algorithm with a SHA256 hash
|
8
messense 2015-10-20 09:56:54 +08:00 1
|
9
virusdefender 2015-10-20 09:58:35 +08:00 1
secret key 是加密 cookie 用的,如果这个泄露,可能造成远程代码执行。
django 的 密码的盐就在加密后的字符串里面,加密强度还是挺强的 |
10
virusdefender 2015-10-20 09:59:28 +08:00 1
|
11
zhchbin 2015-10-20 10:05:05 +08:00 1
@QQ1685425675 数据库里存的东西安全性是由你决定的,框架并不会帮你干什么事。另外,框架也是可能存在漏洞,导致被黑的。 Google: site:wooyun.org django (看一下国内乌云论坛上的漏洞吧)
目前正确的存储用户密码哈希的姿势: https://crackstation.net/hashing-security.htm |
13
watzds 2015-10-20 10:21:37 +08:00 via Android 1
|
14
ryd994 2015-10-20 10:42:50 +08:00 via Android 1
@watzds 所以我说如果 secret_key 做密码加密是药丸的
然而我至今不明白为啥楼主的 Django 加密密码会用到 secreat_key |
15
dong3580 2015-10-20 10:46:45 +08:00 1
@QQ1685425675
随机,那么这些随机的参数你生成了之后,怎么再次校验? |
16
caoyue 2015-10-20 10:56:33 +08:00 1
@dong3580
一般是用 algorithm$number of iterations$salt$password hash 的方式存数据库 |
17
zhaoshanhe 2015-10-20 11:22:05 +08:00 1
首先脱裤一般都是带着盐的 而且有点良心的厂商都是随机盐。 脱下来的数据要破解基本都是彩虹表。
|
18
QQ1685425675 OP @dong3580 随机的参数 也是存起来的吧, 可以校验,只是很难(基本不可能)逆向
|
19
MrGba2z 2015-10-20 12:11:30 +08:00 via iPhone 1
secret key 和数据库无关吧…
那不是用于 session 和 cookie 里的么 |
20
wibile 2015-10-20 12:47:35 +08:00 1
知之为知之不知为不知,不知还强答,在下服了。。。
|
22
wy315700 2015-10-20 13:42:54 +08:00 1
要落到 NSA 手里, AES256 都没用
|