V2EX › 9hills 的所有回复 › 第 312 页 / 共 355 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 308 309 310 311 312 313 314 315 316 317 ... 355

❮

❯

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@yyfearth 还有成本问题呢，数字证书怎么保证安全性，和银行一样搞USB key么？
USBkey的成本谁掏，做一个简单的网站，比如v2ex，然后上个USBkey，搞笑～

世上没有绝对的安全，只有相对的安全。假如都像@bhuztez这样抬杠，人类回到原始社会算了。

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@bhuztez 不存密码？

世界上的事情都是权衡出来的，什么叫快的被暴破，慢的被DDOS

用上我上面说的那些方法，一般的黑客就已经无可奈何了。

你非要说假如大规模DDOS如何如何，假如别人用集群计算如何如何。。。当自己是Google啊，那么招人恨？

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@bhuztez 限制登录就好了，连续五次密码错误禁止ip登录 30min。

discuz都有这功能

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@bhuztez 限制登录就好了，连续五次密码错误封ip 30min。

discuz都有这功能

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@yyfearth 本地一定要做js弱密码验证。。。要不就和CSDN一样全是123456789.....

不知道有没有现成的js弱密码验证库可用，把这些都给禁了：
QWERTYUIOP
!@#$%^&*(
....

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@bhuztez 本地用js禁止弱密码不就行了。8位以上带字母，算去吧

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@yyfearth 我觉得网站也有责任，应该在本地就用js不允许使用弱密码。

8位以上，不允许纯数字，然后配合每个用户一个单独的40位salt，想安全再加一个固定salt

以目前的计算机水平，普通黑客就算拿到你的数据库，想算出来也基本不可能

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@bhuztez 注意我说的是一个用户一个salt。

黑客算出所有的 8位简单密码（纯数字小写字母） + salt 的彩虹表你觉得要花多长时间，你自己算一下吧

一个彩虹表只能用一次，下一个用户还得重新算一个

2011 年 12 月 29 日

回复了 9hills 创建的主题 › 信息安全 › @KiseXu 花密Python CLI版本

@yesmeck @bhuztez
现在已经改成了交互式的了，用了python的getpass。。。

使用方法：
% ./huami.py KEY
Password:
d82D51bf29FF94ad

依然可以结合xclip使用

% ./huami.py qq | xclip -i
Password:
% xlip -o
d82D51bf29FF94ad

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@yyfearth 当然你可以每个用户一个salt，然后再来一个固定salt。。
@bhuztez 每个用户一个salt啊，那得试到哪辈子去了。。

差不多就行了，黑客也是讲投入产出的，一天才能破一个用户，还必须的是弱密码。你当黑客是傻子么

2011 年 12 月 29 日

回复了 9hills 创建的主题 › 信息安全 › @KiseXu 花密Python CLI版本

@yesmeck 厌烦一切交互式的程序。。。

不过改成交互式倒是很简单。。。只输入PASSWORD好了

2011 年 12 月 29 日

回复了 etre 创建的主题 › 程序员 › 密码泄路很疯狂，很多密码加密都使用了salt,如何安全的保存salt呢？

@yyfearth 如果每个用户一个salt的话，泄露就泄露了吧，有黑客蛋疼到给每个用户都跑一遍彩虹表么。。。

建议salt直上40位。然后抛弃md5,用sha1啥的。。。。

2011 年 12 月 29 日

回复了 9hills 创建的主题 › 信息安全 › @KiseXu 花密Python CLI版本

另外花密是不是key和msg搞反了。。。按对比来说，password是密钥key，网站的识别码是信息msg。

不过这点对安全有影响么？吾不清楚

2011 年 12 月 29 日

回复了 KiseXu 创建的主题 › 信息安全 › 可记忆的密码管理方案 —— 花密

@xdz0611 其实用来配合lastpass最好了，lastpass生成的随机密码坏处是没有规律，这样在某些不能或不想访问lastpass的环境下就比较麻烦，比如公共电脑，比如手机（lastpass手机版要钱啊）

花密生成的密码用lastpass管理，这样一是方便，二是在没有lastpass的环境下也可以算出密码来

2011 年 12 月 29 日

回复了 avatasia 创建的主题 › 问与答 › 还是写代码风格的问题，如果设计代码布局

@avatasia swap都要加返回值～～～你这样写出来的程序会又臭又长的。。。

2011 年 12 月 29 日

回复了 avatasia 创建的主题 › 问与答 › 还是写代码风格的问题，如果设计代码布局

@avatasia 有时一个函数就是做某件事，比如让PC喇叭响一下，要啥返回值。。

2011 年 12 月 29 日

回复了 ttsaon 创建的主题 › 分享发现 › 苹果面试要6轮吗？

Google几年前动辄十几二十轮。。。不过听说最近精简流程了

2011 年 12 月 29 日

回复了 fehu2005 创建的主题 › 问与答 › 今年人类失去的伟人排名，计算机方面：一，哈维尔；二，约翰麦卡锡（John McCarthy)，三，乔布斯。（个人观点，欢迎补充）

这贴太欢乐了。一个哈维尔，一个Dennis Ritchie。。。