bcrypt; روش امن و مرسوم برای ذخیره کردن هش پسورد به همراه سالت و شیوه هش کردن در دیتابیس

در ویدئوهای مربوط به هک اسنپ، یه بحثی بود که چرا سالت، به عنوان فیلدی از دیتابیس ذخیره شده. من اول گفتم این برام جذاب نیست چون می‌شه از هر فیلد یونیکی (مثلا یوزر آی دی) براش استفاده کرد؛ حتی اگر این در ترکیب با یه سالت دیگه (پپر) از بیرون دیتابیس باشه. اما بعضی از دوستان گفتن که این اشکال خاصی هم نداره و شاید باعث تمیزتر بودن دیتا باشه یا چیزهای دیگه.
این شد که گفتم در مورد بی کریپت هم یه ویدئو بدم که در ادامه صحبت‌های قبلی در مورد ذخیره پسورد و هشش و اینها، بدونیم دقیقا بست پرکتیس‌ها و روش‌های اثبات شده و خوب برای نگهداری پسورد چه تیپ چیزهایی هستن (:
به حامیان کانال بپیوندین (:
/ @jadimirmirani

[@user-wz9es3os1v]

هزار بار هم از یک موضوع حرف بزنی،باز هم نکته تازه ای برای گفتن داری😊

[@moein84]

اول: از همه تولد مبارک جادی عزیز🎉،
دوم: عالی توضیح دادید مثل همیشه
سوم :تازگیها فعالیتت بیشتر شده خوشحالم و ممنون❤

[@Ahmad20990]

از افغانستان سلام برایت استاد عزیز ویدیو های شما را تهیه کردم واقعا به عشق و حال درس میدین تا حال چنین دوره آنلاینی را تجربه نکرده بودم❤️❤️

[@JadiMirmirani]

خوشحالم مثبت بوده (:

[@matineshaghi3184]

جادی جان. میشه درباره اینکه با کامپیوتر های کوانتومی چطوری این شیوه رمز نگاری به خطر میوفته هم صحبت کنی؟

[@oswaldcobolpot8978]

بوس به کله ات جادی عزیز 😘😘😘
میلادت هم شادباد 🥂🥂

[@mohamadfadavi3319]

هنوز تا آخر ندیدم ولی تکمله‌ای که به بحث قبل زدی عالی بود! کلا با این موضوع «ادامه دادن بحث» توی ویدیوهای مختلف بسیار موافقم.

[@manigaroosi]

ایول فعالیتت دوباره زیاد شده ❤🎉

[@mohammadnematollahi717]

استاد جادی گل بسیار ممنون بسیار شیوا و قشنگ توضیح میدید

[@fatemehsalem3850]

چقدر لذت میبرم ، اموزنده و خیییلی کاربردی🙏🏻🙏🏻

[@sajadabp-lu8kw]

چقدر جالب که از یه دیتا بیس لیک شده ای که خیلی ساده ما از کنارش رد شدیم تو کلی تحلیلش کردی و چیز یاد گرفتی. موفقیت ینی این =))

[@Kor0sh]

ممنون جادی
بسیار لذت بخش و رووان بو

[@hasankarami1991]

ساعت ۶ و نیم صبح رو با این ویدئو عالی شروع کردم. خیلی آموزنده بود.

[@alir8zana635]

thanks again Mr Jadi
Great video as always

[@QVMaster]

زادروزت فرخنده و به تندرستی و شادی باشه جادی خیلی عزیز 🎉🌹♥️👑💯 دنیا به انسان‌هایی مانند شما شدیدا نیاز داره. مثل شما بیش باد 🙏🙏🙏🙏🙏

[@mechassistant]

واییییی عالییییی بود کلی چیز باحال یاد گرفتم بازم ❤

[@fatemehrz6830]

happy birthday jadi joooon ❤

[@amirmahdi6939]

Good work jadi❤❤❤

[@alisrj5654]

سلام ممنون از ویدیو خوبتون
به عبارت OrpheanBeholderScryDoubt در رمزنگاری nothing-up-my-sleeve میگن طراحان الگوریتم های رمزنگاری و هش فانکشن‌ ها اگه از یک initial vector یا عبارت ثابت استفاه کنن باید علت انتخاب کردن این عبارت ها رو توضیح بدن تا احتمال اینکه این عبارت به منظور ایجاد یک آسیب پذیری و backdoor استفاده شده باشه پایین بیاد.

[@sepehr__byt]

Love your content

[@nima9625]

تولدت اینجا هم مبارک جادییییییی 🤩🍀🍻

[@OmidAtaollahi]

متشکرم

[@sajadnamdar3283]

دمت گرم خیلی خوب و مفید بود

[@anew666]

مثل همیشه عالی..

[@0_0-ro6vu]

چه قدر باحال بود ایننن ❤❤❤

[@CodingLovers]

قوی مثل همیشه 💜🍻

[@kermanianmitra9508]

دمت گرم🎉

[@mohsenheydari4551]

تولدت مبارک جادی جان ❤🎉😊

[@atajahangiri5861]

VERY very GOOD video

[@Morancher]

بینهایت عالی هستی🍻

[@sepsot]

you rock

[@mammadsafar6581]

😍😍😍دوباره جادیی

[@dav1d.ahmadzadeh]

Jadi❤

[@samrasoli]

useful, thanks

[@MHA-kh5vx]

ممنانم

[@amir_hosein_e3947]

🔥

[@behzadayubifar8071]

awesome ❤

[@Mehdi_dehghani]

Very good

[@shayanrb139]

good

[@aboozarsobboohi827]

❤

[@MahdiMashayekhi]

ممنون جادی عزیز ❤🎉 راستی از کدوم توزیع لینوکس استفاده میکنی؟

[@MohammadAliAzimi]

Thanks!

[@JadiMirmirani]

Welcome!

[@Kor0sh]

ضمن اینکه تولدتو تبریک میگم جادی عزیز و امیدوارم بتونم زمانی ، تمام چیزهایی که به من اموختی(اخلاق و علم) رو جوری بهت برگردونم ، میخواستم ببینم ممکنه درموردArgon2 و AES-256 هم کمی صحبت کنی ، و این توی این ژانراز ویدیو هات ، سمت این الگوریتم ها هم بریم.
به شخصه علاقه زیادی به Argon2 دارم و برام سواله چرا باوجود الگوریتم های سیف تر ، هنوزم توی اکثر مواقع در ایران از bcrypt استفاده میشه .

[@my.alireza]

❤❤❤❤❤❤❤like

[@its_P.S.A]

جادی یه برنامه پایتون برامون بنویس که رینبو تیبل بسازه ، می خوام با مال خودم مقایسه کنم

[@vans909]

🎉

[@blacktro]

❤❤❤❤❤

[@behrouzbehi10]

💙💙

[@k1tajfar714]

عالی. من یه ایده باحال هم دارم که اپن سورس میخوام روش کار کنم هنوز خیلی خامه ولی دوست داشتم ایمیل بزنم برای اولین بار بهت (هیچ موقع نمیخوام وقتتو بگیرم) و هم تولدتو تبریک بگم و ایده رو مطرح کنم هم روش کار کنیم اگه باحال بود هم اپن سورس و فری سافتور ویدیو یوتویوبی چیزی ازش آموزشی بگیری اگه وقت داشتی. ایده هکریه همینطوری هش و اینا. و همینطور پیاده سازی با راست شاید خیلی جذاب بشه ولی خودم فقط سی و پایتون بلدم.

[@alirezanet]

یکی از تفاوت های اصلی bcrypt
که اشاره نکردید اینه که هر بار که هش رو تولید میکنید با یه پسوورد خروجی متفاوتی میده به همین جهت نمیشه دوبار یه متن رو هش کرد و هش هارو مقایسه کرد باهم. باید از خود الگوریتم برای مقایسه استفاده کنیم.

[@miladhosseini4479]

جادی جان خیلی ممنون ، من دقیقا همین رو توی Nodejs داشتم کار میکردم ، با توضیحاتت بیشتر گرفتم این دقیقا چطور کار میکنه

[@HamidAbbaszadeh]

از نسخه‌ی ۴.۰.۰ با استفاده از Rust پیاده‌سازی شده است.

[@alikazemkhanloo9514]

24:21 that's what she said :)

[@aminayati]

🤘🏻🤘🏻🤘🏻🤘🏻

[@imanmahtabi3906]

یک سوال دارم اکر هکر قبل از هک کردن یک پروفایل برای خودش درست کرده باشه(پروفایل برای همونجایی که قراره هک کنه)...در این صورت دسترسیش به هش پسورد که خیلی راحتته و حتی ممکنه بتونه با چندتا اکانت مختلفی که میسازه سالت رو هم یه جورایی بهش برسه؟؟؟ ( یه ادم غیر متخصص میپرسه این سوالو) این ویدیویی که درست کردین با این روش توضیح خیلی جذابتر شده...

[@kavooss4205]

سالت یک استرینگ نسبتا بلند و بی معنی هست چجوری میخواد بهش برسه هش که قابلیت دیکریپت نداره و همچنین و سرعت هم هر چقدر زیاد باشه باز نمیتونه سالت رو از توی هوش پیدا کنه

[@JadiMirmirani]

ایده خیلی باحالی است (: بهش می گیم فکر کردن شبیه یه هکر (: از نظر الگوریتمی نمی تونه به سالت برسه و معمولا سالت رندم بزرگی است ولی در نهایت ایده خوبیه یکسری دیتا خودش بذاره و ببینه چه شکلی شدن بعد از رمز شدن و شاید دید بهتری بده

[@JadiMirmirani]

دقیقا درسته. معمولا سالت اینقدر طولانی است که نمی شه با حدس و سعی خطا بهش رسید. ولی در نهایت ایده خوبیه

[@alialipour9061]

فکر کنم Django پسورد روت رو 170 هزار بار هش می کنه

[@ar_besharati]

❤❤❤❤ دیتابیس های هوشمند در مورد ویدیو بسازید

[@JadiMirmirani]

مثلا چی؟

[@my.alireza]

😊😊😊😊😊😊😊😊😊😊

[@vahidsarani8264]

سلام جادی .مدل دقیق لپتاپت چیه ؟

[@Icarus_TV]

یک سوال وقتی در پایگاه داده عبارت ۸ سالت و مقدار سختی همه با هم ذخیره می‌شود و از آنجایی که برنامه بیکریپت یک عبارت را به یک حش جدید تبدیل می‌کند آیا نمی‌شود از این اطلاعات ذخیره شده در پایگاه داده استفاده کرد و با کمک خود بیکریپت جدول رمبو را ساخت چون هم سایت را داریم هم مقدار سختی را و هم ۸ را

[@kavooss4205]

هر بار که پسورد رو میزاریم تو دیتابیس یک سالت جدید میسازیم، درسته که سالت کنارشه ولی اون هش کنارش هم با همین سالت ساخته شده و سالت و هش هر کاربر فرق داره یعنی رینبو تیبل هم بسازه بعد از کلی وقت و هزینه فقط می‌تونه پسورد یک کاربر رو بگیره

[@arminover2247]

salam
chetori sagaro ezafe konim be Terminal khodemoon?

[@JadiMirmirani]

سگ ها رو؟ اگر منظورت اون گاو اول است دستورش هست
cowsay hi

[@kuroshghaffari1416]

سلام جادی دمت گرم
کسی میدونی قضیه این نوت کوینای تلگرام چیه؟

[@saeedmirshams8533]

وای این هودی را هنوز داری؟
من هم لباسهام خیلی عمر میکنن.

[@parhamm1]

درود، بنظر شما حرکت معقولیه برای امنیت بیشتر سورس رو دستکاری کنیم و این عبارت رو عوض کنیم؟ دیگه طرف عمرا بره پکیجامونم بخونه این وسط

[@alisrj5654]

انتخاب این عبارت صرفاً به منظور یک عبارت ثابت و شروع فرآیند blowfish block cipher هست و امنیت bcrypt به بخاطر این عبارت نیست.
عوض کردن این عبارت هم اگه هوشمندانه انجام نشه ممکنه خودش یک آسیب پذیری در این الگوریتم ایجاد کنه.
در مبحث رمزنگاری نباید الگوریتم دستکاری شه و چیزی از الگوریتم پنهان باشه تنها چیزی که باید پنهان باشه کلید هست.

[@MahdiAmeri]

3:28 احتمالا اون هش های ۴۰ کاراکتری برای دوران زود فوده

[@JadiMirmirani]

فکر کنم منم می گم تو ویدئو این حدس رو (:

[@ParsaNaderiX]

سلام جادی, من چک کردم و دیدم که بیشترین مقداری که میشه برای راوندز گذاشت 31 هست پس یه جایی بلاخره استفاده از بی کریپت به محدودیت ختم میشه.

[@ParsaNaderiX]

حالا رفتم گشتم و دیدم امروز راوندز که معمولا ازش استفاده میشه همون دیفالت خودش یعنی 12 هست.

[@ParsaNaderiX]

که یعنی اگه از همین امروز فرض کنیم کامپیوترها هر 18 ماه قدرتشون 2 برابر میشه, 28.5 سال آینده یعنی تقریبا تو 2052 دیگه نمیشه اون عدد راوندز رو یکی ببریم بالاتر که یعنی دیگه نمیتونیم از بی کریپت استفاده کنیم؟!؟

[@kavooss4205]

احتمالا تا اون موقع یک آپدیت میدن و این قضیه رو با یک روش دیگه حل میکنن

[@JadiMirmirani]

معمولا ایده اینه که تمرکز هش ها می ره به سمت چیزهایی که محدودیت هایی بیشتر از سی پی یو داره. مثلا ممکنه بریم به سمت هش هایی که نیاز به رم بیشتر دارن که فعلا تهیه کردنش گرونتر از سی پی یو است

[@arshiaalidosti8818]

خدایی الان وقتش نیست که یکم Fun project with Rust داشته باشیم؟ 😅

[@JadiMirmirani]

منم بهش فکر کردم. و حتی یکی هم شروع کردم و دو قسمت ضبط کردم ولی دیدم احتمالش کمه ادامه اش بدم (: بازم اگر شد حتما . بامزه است بخصوص که زبون پر دردسری است و هی اشتباه می کنم می خندیم (:

[@arshiaalidosti8818]

@@JadiMirmirani ممنون! حتمی کلی یاد میگیریم و خوش میگذره! 😀

[@sobhanmovassagh6792]

ممنون ولی من یک چیزی را متوجه نشدم اگه سالت در همون دیتا بیس ذخیره میشه و نمایش داده میشه، پس بود و نبودش چه فرقی می کنه؟؟ خب اگه کسی به قسمت دیتا بیسها دسترسی پیدا کنه باز هم باید فقط قسمت پسورد را تغییر دهد تا به جواب برسد.

[@JadiMirmirani]

فکر کنم می گم دیگه. اگر الگوریتم رو داشته باشی و بخوای جدول رنگین کمان درست کنی برای حمله شکستن رمز، فقط یه رمز رو می تونی بشکنی / سعی کنی بشکنی چون سالت ها فرق می کنن

[@sobhanmovassagh6792]

الان فهمیدم چی شد. اگه هکر لیست رنگین کمانی از قبل داشته باشه بدردش نمی خوره ولی اگه بخواد برای هک کردن وقت بذاره و لیست جدید درست کنه شدنیه. فکر کنم با عوض کردن پسورد سالت هم عوض بشه که کار را خیلی سخت می کنه. ولی اگر یک شرکت بزرک یا یک کشور بخواد شخصی را هک کند بخاطر سخت افزار قوی خیلی راحتتر بتونی این کار را بکنه@@JadiMirmirani

[@mehdimohsenimahani4150]

جادی چرا دوره ای نمیری برا امنیت.موافقا لایک کنن

[@Kor0sh]

bcrypt*

[@JadiMirmirani]

مرسی اصلاح کردم عنوان رو

[@amin8018]

اگر هکمون نمیکنی فالوت کنم ت

[@JadiMirmirani]

((:

[@mamfan-xe7ud]

❤

[@ahoura612]

❤