Ders 3.2: Sistemler parolaları nasıl saklar
Bir sistem parolanı saklamadan kontrol etmek zorundadır. Linux'un bunu /etc/shadow'da nasıl yaptığı, alanların ve $id$ öneklerinin ne anlama geldiği (yescrypt, SHA-512 crypt, kilitli hesaplar), her parolanın neden kendi tuzunu aldığı ve parola özetlerinin neden bilerek yavaş olduğu ve bir web uygulamasının PHP'nin password_hash ve password_verify fonksiyonlarıyla aynısını nasıl yaptığı. Laboratuvarda shadow dosyasını sudo ile güvenle okuyor, hâlâ eski bir yöntem kullanan eski bir hesabı ve kilitli bir hesabı buluyor, yeni parolaların hangi yöntemi aldığını kontrol ediyor ve PHP'de bir parolayı özetleyip doğruluyorsun.
17 dk
Bu derste öğreneceklerin
- Sistemlerin neden parolaları değil parola özetlerini sakladığını açıklamak
- /etc/shadow alanlarını ve $id$ öneklerini okumak
- Tuzları ve yavaş parola özetlemeyi açıklamak
- Eski özetli ya da kilitli parolalı hesapları bulmak
- password_hash ve password_verify kullanmak
Temel terimler
- /etc/shadow
- Parola özetlerini ve yaşlanma bilgilerini tutan, yalnızca root'un okuyabildiği Linux dosyası.
- Tuz
- Her parola özetiyle birlikte saklanan ve ona karıştırılan rastgele bir değer; böylece aynı parolalar farklı özetler alır.
- Parola özetleme fonksiyonu
- Parolalar için yapılmış, bilerek yavaş, tuzlu ve ayarlanabilir maliyetli özet.
- Maliyet çarpanı
- Her özetin ne kadar iş gerektirdiğini belirleyen parametre; donanım hızlandıkça zamanla yükseltilir.
- Modüler crypt biçimi
- Bir özeti hangi yöntemin yaptığını yazılıma söyleyen $id$parametreler$tuz$özet düzeni.
← Parolaları saklamak ve doğrulamak · Tüm dersler · Güvenlik kontrolleri: önleyici, tespit edici, düzeltici →