Weblabor

Az utóbbi napokban több helyen is felbukkant a GData nevű webhely linkje, ahol több mint tizenkét millió szó és md5 hash érték párja érhető el. Sok fejlesztő használja a PHP vagy valamely SQL adatbázis md5() függvényét, hogy a felhasználók jelszavait elkódolja. Lévén egyirányú kódolás, ez lehetővé teszi, hogy a kódból ne tudják automatikusan visszaállítani a jelszót. Ha azonban gyakori jelszavakat, vagy gyakori módszerekkel előállított jelszavakat használunk, egy kód szótár alapján visszafejthetőek az eredeti karaktersorozatok. Ezért nem örülnek sokan ennek az óriási mértékű adatbázisnak.

Ahogy Ilia Alshanetsky is megjegyzi blog bejegyzésében, a probléma nem feltétlenül az md5() használatában van, hanem a jelszavak egyszerűségében. Amennyiben valamilyen módon nyilvánosságra kerülnek a webhelyünk felhasználóinak md5() segítségével kódolt jelszavai, szinte biztos, hogy több eredeti értékét is meg lehet fejteni a szótáras visszafejtés segítségével.

Miként kerülhetjük el ezt a problémát? Természetesen mindent meg kell tennünk, hogy az md5 segítségével kódolt jelszavak ne kerülhessenek illetlen kézbe. Arra az esetre, ha ez mégis megtörténne, az md5() hívásokban csak az alkalmazásunk által ismert kiegészítő karaktersorozatokat használhatunk. Ennek elegánsabb módja a crypt() függvény használata lehet, bár az nem működik egységesen minden platformon. Mindezeken túl természetesen felhasználóink oktatása is egy megoldási út lehet, azaz bizonyos tipikus jelszavak és minták felismerése esetén visszautasíthatjuk a jelszó beállítását, és komolyabbat kérhetünk.