Ha... Ouch, ça fait mal, j'espère pour toi que tu ne travailles pas dans la sécurité, ça serait une faute professionnelle et tu devrais être viré sur le champs (bon, à relire, "Même sans sel ca reste une bonne solution" était déjà un motif).
Y a une attaque viable contre sha2 ?
Oui : brute-force.
La vite fait recherche rapide (il doit y avoir bien mieux), je trouve :
"SHA256 [...] an average graphic card that costs only 150ドル can calculate more than 200 million hashes/s. Calculating at 200M/s, to try all possibilities for an 8 character alphanumberic (capital, lower, numbers) will take around 300 hours."
Note : ça date de 2011, je te laisse essayer d'imaginer pour du matos de 2018 et/ou AWS, tu vas prendre la honte.
Et ça, c'est avec sel (sinon il y a les tables), "Même sans sel ca reste une bonne solution." c'est juste une connerie.
--> PBKDF2 (avec du SHA2 ça va, c'est juste seul, ce qui est le cas quand on dit "SHA2", qui est pourri; avec un sel sinon ça redevient une connerie) avec 10000 itérations mini! (Source : NIST)
Je t'avoue que j'attendais une réponse un peu plus élaboré qu'un simple jugement sans rien derrière.
Disons que c'est largement connu, donc bon on ne s'attend pas à ce genre de réponse et au besoin d'élaborer quand on répond "c'est de la merde" quand quelqu'un dit que la terre est plate.
[^] # Re: Chaussures du cordonnier
Posté par Zenitram (site web personnel) . En réponse au journal Freenaute, ton mot de passe d'abonné est stocké en clair chez Free. Évalué à 6.
Ha... Ouch, ça fait mal, j'espère pour toi que tu ne travailles pas dans la sécurité, ça serait une faute professionnelle et tu devrais être viré sur le champs (bon, à relire, "Même sans sel ca reste une bonne solution" était déjà un motif).
Oui : brute-force.
La vite fait recherche rapide (il doit y avoir bien mieux), je trouve :
"SHA256 [...] an average graphic card that costs only 150ドル can calculate more than 200 million hashes/s. Calculating at 200M/s, to try all possibilities for an 8 character alphanumberic (capital, lower, numbers) will take around 300 hours."
Note : ça date de 2011, je te laisse essayer d'imaginer pour du matos de 2018 et/ou AWS, tu vas prendre la honte.
Et ça, c'est avec sel (sinon il y a les tables), "Même sans sel ca reste une bonne solution." c'est juste une connerie.
--> PBKDF2 (avec du SHA2 ça va, c'est juste seul, ce qui est le cas quand on dit "SHA2", qui est pourri; avec un sel sinon ça redevient une connerie) avec 10000 itérations mini! (Source : NIST)
Disons que c'est largement connu, donc bon on ne s'attend pas à ce genre de réponse et au besoin d'élaborer quand on répond "c'est de la merde" quand quelqu'un dit que la terre est plate.