Ders 3.1: Parolaları saklamak ve doğrulamak
Bir web sitesinin parolaları bilmeden nasıl hatırlaması gerektiği: MD5 ya da SHA-1 gibi, sızmış parola listelerinin saniyeler içinde yeniden parolaya çevirdiği hızlı özetler yerine özetleme, tuzlar ve yavaş parola özetleri (bcrypt, Argon2). Ve giriş formlarına yönelik saldırılar: kaba kuvvet, kimlik bilgisi doldurma ve parola püskürtme; savunmaları hız sınırlama ve çok faktörlü kimlik doğrulama. Laboratuvarda bir destek talebi yeni müşterilerin giriş yapamadığını söylüyor. Erişim günlüğünde başarıya ulaşmış bir giriş saldırısı buluyor, yeni kayıt sayfasının MD5 özetleri sakladığını ve herkesin okuyabildiği bir dışa aktarımın iki müşterinin aynı parolayı kullandığını ele verdiğini keşfediyor, tek bir PHP satırıyla onu kırıyor, kayıt kodunu password_hash ile düzeltiyor ve dışa aktarımı kilitliyorsun.
19 dk
Bu derste öğreneceklerin
- Özetlemeyi, tuzlamayı ve parolaların neden yavaş özetlere ihtiyaç duyduğunu açıklamak
- PHP'de password_hash ve password_verify kullanmak
- Bir günlükte kaba kuvveti ve kimlik bilgisi doldurmayı tanımak
- Savunmaları saymak: hız sınırlama, çok faktörlü doğrulama, sızmış parola kontrolleri
- MD5 ile parola saklamayı düzeltmek
Temel terimler
- Özet (hash)
- Tek yönlü bir fonksiyon: girdiden hesaplaması kolay, tersine çevirmesi pratikte imkânsız.
- Tuz
- Her parola özetiyle birlikte saklanan ve ona karıştırılan rastgele bir değer; böylece aynı parolalar farklı özetler alır ve önceden hesaplanmış listeler işe yaramaz.
- Parola özeti (bcrypt, Argon2)
- Yavaş ve tuzlu olacak şekilde, ayarlanabilir bir maliyetle, parola saklamak için yapılmış özet.
- Kaba kuvvet
- Biri işe yarayana kadar tek bir hesaba karşı birçok parola denemek.
- Kimlik bilgisi doldurma
- İnsanların parolaları yeniden kullandığına bahse girerek başka web sitelerinden sızmış kullanıcı adı ve parola çiftlerini denemek.
- Çok faktörlü kimlik doğrulama (MFA)
- Parolanın yanında ikinci bir kanıt istemek: bir uygulamadan kod, bir güvenlik anahtarı ya da bir geçiş anahtarı (passkey).
← Alt ağlar ve CIDR: bir ağı bölmek · Tüm dersler · Güvenlik kontrolleri: önleyici, tespit edici, düzeltici →