نوشته‌شده در

رمزنگاری – سرویس استراحت امنیت رمز عبور

من یک سرویس استراحت A را ارائه می دهم که برای سرویس B بقیه ارتباط برقرار می کند (هر دو این سرویس در داخل شبکه شرکت قرار می گیرند). اما خدمات بقیه B، شناسه سرویس و رمز واقعی واقعی را برای من به منظور استفاده از سرویس B خود ارائه کرده است.

نگرانی من این است که چگونه رمز عبور سرویس B را به طور ایمن در Service A خود ذخیره کنم. من نمی خواهم فقط آن را ذخیره کنم متن ساده در فایل خواص یا پایگاه داده.

من دوست دارم یک روش رمزنگاری برای تأمین رمز عبور را اجرا کنم، اما تنها نگرانی من این است که هر تکنیک که برای تأیید گذرواژه استفاده می شود، در نهایت من باید به عنوان فیلد ساده فقط برای تماس ارسال کنم سرویس ب.

این فقط برای مخفی کردن متن ساده رمز عبور از بقیه تیم و شرکت است. باید بین مصرف کننده و تولیدکننده ایمن باشد (ممکن است افراد را نگه دارد).

نوشته‌شده در

کدام رمزگذاری این است؟

در اینجا یک رمز عبور دارم: 28 88 d9 2d 8d 2a ee e6 22 34 ff 7b f8 83 a9 ac که رمزگذاری شده با استفاده از رمزنگاری AES، DES یا 3DES رمزگذاری شده است.

نوشته‌شده در

رمزگذاری – AES-CBC و سپس SHA در مقابل AES-GCM برای رمزگذاری و تأیید اعتبار یک نشانگر وب

من سعی میکنم چیزی شبیه به JWT داشته باشم اما به طور خاص و رمزگذاری شده. این نشانه به سادگی یک JSON رشته ای است که حاوی شناسه کاربر و زمان بندی یونیکس است. در حال حاضر، من سعی کردم از AES-128-GCM استفاده کنم، اما قبل از رمزگشایی برخی از اصلاحات ساده در متن رمز را انجام دادم، فقط بعضی از بایت ها را به متن رمزگذاری اضافه کردم و متوجه شدم که آن را با موفقیت رمزگشایی می کند، آیا این بدان معنی است که این بایت ها به عنوان padding و که AES GCM الگوریتم رمزنگاری را تایید می کند؟ زیرا احساس می کنم که رمزگذاری شده و سپس تأیید اعتبار را احساس می کند به من بیشتر امن است. همچنین، تأیید هویت AES GCM حتی ایمن به اندازه کافی برای مقایسه با SHA256 به عنوان مثال است، آیا CRC سطح برای یکپارچگی سریع است و نمی تواند برای احراز هویت امن مانند HMAC استفاده شود؟

به عبارت دیگر : AES-128-CBC سپس SHA-256 امن تر از AES-128-GCM است

نوشته‌شده در

رمزگذاری – رمزنگاری خود را رول کنید

من می دانم که این معمولا برروی گوشی خنثی می شود، اما فرض می شود که شما رمز خود را رمزگذاری کنید (کاملا به خودتان یا با گروه کوچکی از دوستان، بدون بررسی همکار)، چه کاری می توانید انجام دهید تا الگوریتم سفارشی خود را انجام دهید به عنوان امن در صورت امکان (یا به جای آن، حفظ خطر استفاده از آن به حداقل)؟ به همین ترتیب، برای چیزی مانند یک تابع هش، برای ایجاد احتمال برخورداری از برخی از حملات بی نظیر یا حمله به عنوان کمترین امکان ممکن است؟

من می دانم که هیچ راهی برای برخورد با امنیت الگوریتم هایی مانند AES وجود ندارد، و من هیچ برنامه ای برای استفاده از الگوریتم های سفارشی برای هر چیزی مهم ندارم، اما فکر کردم که می تواند مفید باشد، تا فکر کند که چه چیزی بهترین روش برای کپی کردن سیستم خود است اگر شما این کار را انجام دهید.

نوشته‌شده در

رمزنگاری – شناسایی TLS POODLE

چگونه می توانم مشخص کنم آیا سرور راه دور آسیب پذیری به آسیب پذیری TLS POODLE است؟ اگر چه، اسکنر آنلاین مانند Qualys SSL Labs وجود دارد. همانگونه که در درک من است، این اسکنرهای آنلاین بر روی پورت های سفارشی مانند 8086، 8909 و غیره کار نمی کنند. همچنین این اسکنر ها هنگام استفاده از ارزیابی امنیتی در دستگاه های شبکه داخلی نمی توانند مورد استفاده قرار گیرند.