アカウント名:
パスワード:
どうせハッシュ化するんだから何十文字でも受け付けろよ
コピペでパスワード貼り付けられないようJavascriptで細工してるサイトも面倒。まあDOM操作で直接値を貼り付け入力しちゃうけどね。
「何十文字でも」ではなく、根拠のある数字を述べて欲しい。その仕様通りに実装するのは簡単だろう。
境界値試験なんてアホ臭いよね
そんなわけあるかい離散系なんだから有限で最大値決めんかい
うーん、じゃあ4文字
四字熟語とかでログインしたいなあ。
冗談でもそういうのは止めてくれ。それを鵜呑みにしてそういう使用を押しつけられそうになったことあるから。
メモリも帯域も有限なのに、無限なんて実現できるものか。
ハッシュ化されたパスワードが漏洩した場合の安全性を保つために、高強度のストレッチングなどを行うと、長いパスワードでは膨大なCPU時間やメモリを消費してDoS状態になるんですよ。
例えば、パスワードのハッシュ化を目的とした関数 bcrypt (blowfish) は、最大72文字までしか対応していません。SHA-2にかけてから、bcryptにかけるなどすると、安全性が保証されません。あなたが暗号やハッシュの専門家でないならば、生兵法は大怪我のもと、素直にパスワードを72文字制限した方が安全です。
そもそも、普通のSHA-2を使えば良いって？高速ハッシュ関数をパスワードのハッシュ化に使うなんて脆弱ですよ。それだと、もし、ユーザが8文字のパスワードを指定したときなんてすぐにハッシュ化されたパスワードから復号されてしまうでしょうね。
逆にハッシュ化されるより大幅に長い入力を受け付けられるようにしてもあまり意味がない(強度が増えない)。もっとも理論上256bitの強度があっても人間は完全にランダムなパスワードを覚えられないから完全に無意味なわけではないが
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
にわかな奴ほど語りたがる -- あるハッカー
そもそもパスワードの文字数制限すんな (スコア:0)
どうせハッシュ化するんだから何十文字でも受け付けろよ
Re: (スコア:0)
コピペでパスワード貼り付けられないようJavascriptで細工してるサイトも面倒。
まあDOM操作で直接値を貼り付け入力しちゃうけどね。
Re: (スコア:0)
「何十文字でも」ではなく、根拠のある数字を述べて欲しい。その仕様通りに実装するのは簡単だろう。
Re: (スコア:0)
Re: (スコア:0)
境界値試験なんてアホ臭いよね
そんなわけあるかい
離散系なんだから有限で最大値決めんかい
Re: (スコア:0)
うーん、じゃあ4文字
Re: (スコア:0)
四字熟語とかでログインしたいなあ。
Re: (スコア:0)
冗談でもそういうのは止めてくれ。
それを鵜呑みにしてそういう使用を押しつけられそうになったことあるから。
メモリも帯域も有限なのに、無限なんて実現できるものか。
文字数制限しないサイトは脆弱 (スコア:0)
ハッシュ化されたパスワードが漏洩した場合の安全性を保つために、高強度のストレッチングなどを行うと、長いパスワードでは膨大なCPU時間やメモリを消費してDoS状態になるんですよ。
例えば、パスワードのハッシュ化を目的とした関数 bcrypt (blowfish) は、最大72文字までしか対応していません。
SHA-2にかけてから、bcryptにかけるなどすると、安全性が保証されません。
あなたが暗号やハッシュの専門家でないならば、生兵法は大怪我のもと、素直にパスワードを72文字制限した方が安全です。
そもそも、普通のSHA-2を使えば良いって？
高速ハッシュ関数をパスワードのハッシュ化に使うなんて脆弱ですよ。
それだと、もし、ユーザが8文字のパスワードを指定したときなんてすぐにハッシュ化されたパスワードから復号されてしまうでしょうね。
Re: (スコア:0)
逆にハッシュ化されるより大幅に長い入力を受け付けられるようにしてもあまり意味がない(強度が増えない)。もっとも理論上256bitの強度があっても人間は完全にランダムなパスワードを覚えられないから完全に無意味なわけではないが