Trình tạo bộ lọc css
|
Thuộc tính Bộ lọc được hỗ trợ từ CSS3, được sử dụng để tạo một số hiệu ứng hình ảnh (ví dụ:. blur, Saturation) up an html section (thường là ảnh). Bạn có thể thấy một số thuộc tính thuộc tính này trong một số phần mềm xử lý ảnh như Photoshop, Lightroom Show Ý niệm về trình tạo không phải là mới đối với Php 7, bởi vì nó cũng có sẵn trong các phiên bản trước đó. Với các máy phát điện, việc phát triển khai trở nên dễ dàng mà không có chi phí thực hiện một iterator giao diện thực hiện lớp. Với sự trợ giúp của một trình tạo, chúng ta có thể viết mã foreach mà không cần sử dụng một mảng trong bộ nhớ. Nó cũng giúp loại bỏ các lỗi giới hạn bộ nhớ vượt quá. mã foreach mà không cần sử dụng một mảng trong bộ nhớ. Nó cũng giúp loại bỏ “lỗi vượt quá giới hạn bộ nhớ” Nội dung chính Hiển thị
Với sự trợ giúp của phái đoàn máy phát trong Php 7, chúng tôi có thể tự động chuyển đổi cho một trình tạo khác. Nó cũng cho phép các mảng và đối tượng thực hiện giao diện có thể đi qua Phái đoàn máy phát ví dụ 1Bản thử nghiệm trực tiếp
đầu raĐầu ra cho chương trình ủy quyền máy phát chương trình PHP ở trên sẽ là - zero one two six seven eight zero one two nine three four five ten Giải thích chương trình
 Cập nhật vào ngày 13 tháng 6 năm 2021 06. 28. 09
Sau khi đọc bài viết băm mật khẩu đúng cách của anh thaidn, mình nhớ lại lúc mình mới ra trường, cũng đã từng nghĩ về vấn đề này (lúc đó mình khá thích môn Bảo Mật Thông Tin ở trường) nhưng chưa bao giờ hiểu . Chỉ biết là không nên Nội dung chính
Nội dung chính
Một thực tế là nếu bạn chỉ có “muối” mà không có “tiêu”, ăn thịt gà cuộn sẽ không ngon. v. Giả sử, cơ sở dữ liệu bạn đang chạy RAID-1, một ổ cứng bị hỏng và cần thay thế một ổ cứng mới. Nhưng như ta đã biết, đĩa bị hư là gương của đĩa còn lại, bạn phải tiêu hủy ổ cứng bị hư đó nếu không ai có thể lục thùng rác và tái tạo lại một phần dữ liệu trong đĩa bị hư đó Xin lưu ý, bạn cần wipe trước khi bỏ ổ cứng có dữ liệu dù cá nhân hay máy chủ, tuy nhiên đĩa bị chống điện, bad-sector thì wipe chưa đủ an toàn, tốt nhất nên úp ra bãi Chỉ hiểu rằng phải làm thế nào, nhưng không hiểu tại sao lại như vậy và một số câu hỏi khác cũng chưa trả lời được như vậy Mật khẩu người dùng gửi lên, nên băm ở client hay ở server. Muối nên lưu ở đâu. Muối có cần giữ bí mật hay không?Muối chung cho tất cả, hay muối riêng cho từng người dùng? Hôm nay mình quyết định đi tìm câu trả lời cho những vấn đề mình thắc mắc, thay vì mặc định nó đúng nội dung
1. Tại sao không nên lưu văn bản gốc, mã hóa hoặc sử dụng MD5, SHA-1Nếu lưu văn bản gốc, cơ sở dữ liệu bị hack, SQL-injection, mật khẩu người dùng chìa ra theo một cách không thể dễ dàng hơn để đánh cắp Nếu mã hóa 2 chiều, sẽ luôn có một cách để giải mã bằng bất kỳ khóa nào, sẽ phải tìm cách lưu khóa một cách an toàn MD5 và SHA-1 được chứng minh có xung độ, nghĩa là 2 mật khẩu khác nhau, khi hash bằng MD5 hoặc SHA-1 có thể ra cùng một chuỗi 2. in sao must saltTa đã biết, thuật toán băm là hàm một chiều, tức là không thể suy ngược trực tiếp ra mật khẩu nếu có hash_value (khác với mã hóa, có thể giải mã thông qua chìa khóa) Tuy nhiên, vẫn có cách để từ hash_value có thể suy gián tiếp ra mật khẩu ví dụ như brute-force attachment, dictionary attachment -> điểm chung là ta cần thử và đoán mật khẩu nhiều lần để tới khi đúng cái cần tìm. thử và đoán mật khẩu nhiều lần cho đến khi đúng cái cần tìm Một cách khác là ta có thể tính toán trước giá trị băm của tất cả các trường hợp và của tất cả các thuật toán -> cách này khó, khó khăn thời gian, nhưng bây giờ với tốc độ tính toán của máy tính, ta . Bảng lưu trữ mật khẩu + giá trị băm của mật khẩu được gọi là Rainbow Table, có thể tự tạo hoặc tải xuống một số bản miễn phí hoặc trả tiền để mua. Từ bây giờ nếu ta có hash_value ta có thể ánh xạ để suy ra mật khẩu. Tính toán trước giá trị băm của tất cả các trường hợp và của tất cả các thuật toán -> cách này khó, khó khăn về thời gian, nhưng bây giờ với tốc độ tính toán của máy tính, ta vẫn có thể thực hiện được. Bảng lưu trữ mật khẩu + giá trị băm của mật khẩu được gọi là Rainbow Table, có thể tự tạo hoặc tải xuống một số bản miễn phí hoặc trả tiền để mua. Từ bây giờ nếu ta có hash_value ta có thể ánh xạ để suy ra mật khẩu Tuy nhiên, nếu ta chỉ băm mỗi mật khẩu, thì ta gặp vấn đề đó là 2 password giống nhau (user vô tình trùng password) thì chuỗi hash(password) sẽ giống nhau. Người dùng cố gắng đặt mật khẩu đơn giản và phổ biến (ví dụ: mật khẩu dễ nhớ cho người dùng nhưng dễ tra ngược. (user vô tình trùng password) thì chuỗi hash(password) sẽ giống nhau. Người dùng cố gắng đặt mật khẩu đơn giản và phổ biến (ví dụ: mật khẩu dễ nhớ cho người dùng nhưng dễ tra ngược Và nếu chỉ có mật khẩu băm thì nếu mất hash_value, có thể tra cứu trong bảng cầu vồng để tìm ra mật khẩu của người dùng Giờ ta thử thay vì hash(password) ta sẽ hash(salt + password) Từ md5(123456) Tôi. băm_md5. —————————————1. e10adc3949ba59abbe56e057f20f883e. Thành md5(7nWZLcCK0vsPzIM + 123456) Tôi. băm_md5. Muối. ————————————————————1. 0510210d4b370165658bdc0d0b005244. 7nWZLcCK0vsPzIM. Giờ giả sử, ta mất bảng dữ liệu bao gồm hash_md5, salt, kẻ tấn công sẽ phải tính toán lại bảng cầu vồng của tất cả các trường cộng với muối. Nếu muối là ngẫu nhiên cho từng người dùng, kẻ tấn công sẽ phải tính toán toàn bộ trường hợp cộng với từng muối cho toàn bộ người dùng. tính toán lại bảng cầu vồng của tất cả các trường hợp cộng với muối. Nếu muối là ngẫu nhiên cho từng người dùng, kẻ tấn công sẽ phải tính toán toàn bộ trường hợp cộng với từng muối cho toàn bộ người dùng Chi phí cho 2 phép tính trên là vô cùng lớn và tốn rất nhiều thời gian để thực hiện. Go to retend target of salt and random-salt is Bảo vệ người dùng kể cả khi người dùng sử dụng mật khẩu phổ biến và mật khẩu không mạnh do người dùng không nhớ được mật khẩu phức tạp nhưng tốc độ tính toán của máy tính thì ngày càng nhanh. Tạo ra nhiều chi phí tính toán, kẻ tấn công không thể tính toán trước bảng cầu vồng => Ta trả lời đc 3 câu hỏi Muối có thể lưu trong cơ sở dữ liệu, cùng với hash_value. Không cần tìm muối giữ bí mật, nhưng cũng không tự ý công khai muối. Nhưng bắt buộc phải chọn ngẫu nhiên muối cho từng người dùng. muối tự ý công khai. Nhưng bắt buộc phải chọn ngẫu nhiên muối cho từng người dùng Xem thêm. Ninh Dương Lan Ngọc Và Minh Luân, Lan Ngọc Và 3 Mối Tình Với Các Chàng Trai Showbiz 3. Băm ở đâu?Giờ giả sử sử dụng hàm băm(mật khẩu) ở phía máy khách thì vấn đề là gì? know used to chuc nang hash. Muối sẽ phải sinh ra ở máy khách, vì ta cần băm mật khẩu với muối (hash(salt + password)), và db chỉ lưu kết quả băm, không lưu muối. Nhưng nếu salt sinh ra ở client và salt ngẫu nhiên thì làm sao để so sánh với hash_value trong cơ sở dữ liệu? . Hoặc muối có thể lưu trong DB, nhưng máy chủ phải gửi muối về trước cho người dùng trước khi thực hiện băm -> dễ dàng biết được muối hơn Nhìn sơ thì thấy việc sử dụng duy nhất một loại muối đã chống lại luận điểm ở mục số 2. Vậy quy trình chứng thực đúng như thế nào? Người dùng sẽ gửi mật khẩu văn bản thuần lên máy chủ và qua HTTP. Máy chủ sẽ kiểm tra trong cơ sở dữ liệu lấy ra muối của người dùng đó, cộng chuỗi ta được muối + mật khẩu. Thực hiện hash(salt + password) phía máy chủ. So sánh kết quả với hash_md5 trong cơ sở dữ liệu 4. In sao sử dụng bcrypt thay cho SHA-512Kết quả của SHA-512 có độ dài 128 ký tự, độ dài của khóa là 64 byte. Có vẻ như cũng khá chắc chắn, vậy tại sao OWASP khuyên bạn nên sử dụng PBKDF2, bcrypt hoặc scrypt hơn là SHA2? SHA2 là thuật toán băm (tất nhiên), nó được thiết kế với mục tiêu là tốc độ, với CPU hiện đại, có thể tạo ra hàng triệu kết quả trên giây. Nếu sử dụng một thuật toán có tốc độ như SHA2 tức là bạn đã có lợi cho những kẻ tấn công brute-force. Thuật toán nhanh + cấu hình máy chủ mạnh, việc brute-force ngày càng trở nên nhanh hơn Trong khi đó, bcrypt được gọi là thuật toán băm chậm, bcrypt() mất 100ms để tính toán chuỗi băm, chậm hơn 10. 000 lần so với sha1() Có nghĩa là vẫn đạt được mục đích băm nhưng giảm thiểu nguy cơ tấn công brute-force Tóm tắt. SHA-512 không phải là một thuật toán yếu tố, mà vấn đề là SHA-512 không phù hợp với mật khẩu băm. Nếu cần hash password thì ta nên sử dụng các thuật toán slow hash như PBKDF2, bcrypt và scrypt. SHA-512 không phải là một thuật toán yếu tố, mà vấn đề là SHA-512 không phù hợp với mật khẩu băm. Nếu cần hash password thì ta nên sử dụng các thuật toán slow hash như PBKDF2, bcrypt và scrypt 5. Tại sao cần Pepper?Một thực tế là nếu bạn chỉ có “muối” mà không có “tiêu”, ăn thịt gà cuộn sẽ không ngon. v. Giả sử, cơ sở dữ liệu bạn đang chạy RAID-1, một ổ cứng bị hỏng và cần thay thế một ổ cứng mới. Nhưng như ta đã biết, đĩa bị hư là gương của đĩa còn lại, bạn phải tiêu hủy ổ cứng bị hư đó nếu không ai có thể lục thùng rác và tái tạo lại một phần dữ liệu trong đĩa bị hư đó Xin lưu ý, bạn cần wipe trước khi bỏ ổ cứng có dữ liệu dù cá nhân hay máy chủ, tuy nhiên đĩa bị chống điện, bad-sector thì wipe chưa đủ an toàn, tốt nhất nên úp ra bãi Dù random-salt đã làm tăng chi phí tạo ra bảng cầu vồng nhưng đời không biết đâu mà lần, kẻ tấn công luôn có những động lực không tưởng để đạt được cái mình muốn. Giả sử kẻ gian tấn công một siêu máy tính và một gương ổ cứng hư lục từ một cái thùng rác nào đó. Với siêu máy tính đó, ta có Rainbow-table để tra ngược mật khẩu cần tìm Vì sao phải làm sao để giảm thiểu nguy cơ trên? . Hạt tiêu là một chuỗi tương tự như muối, nhưng khác biệt là ta cần giữ bí mật hạt tiêu, lưu ở một nơi khác cơ sở dữ liệu bên ngoài, và không cần hạt tiêu cho mỗi người dùng, chỉ cần 1 hạt tiêu là đủ. giữ bí mật pepper, save ở một chỗ khác cơ sở dữ liệu, và không cần pepper-per-user, chỉ cần 1 pepper là đủ Từ hash(salt + password)Thành hash(pepper + salt + password) Ta nên lưu pepper ở ứng dụng hoặc dịch vụ khác, nếu cơ sở dữ liệu bị xâm phạm thì kẻ tấn công cũng không có pepper để tạo ra Rainbow-table 6. ThưởngTrong khi tìm câu trả lời để viết bài này, mình tìm được một bài blog của dropbox nói về cách họ lưu mật khẩu như thế nào. Thấy có 2 điểm khá hay nên muốn nói thêm Trước khi băm mật khẩu với muối mỗi người dùng, họ có SHA512(mật khẩu) trước để cố định độ dài của mật khẩu đầu vào. Theo Dropbox thì việc này giải quyết 2 vấn đề của bcryptMột số triển khai của bcrypt đầu cắt vào còn 72 byte. Một số triển khai khác của bcrypt thì không cắt đầu vào nhưng dẫn đến một vấn đề khác là tấn công DoS do cho phép tùy chọn độ dài mật khẩu. Dropbox cũng có tiêu toàn cầu nhưng thay vì dùng nó để băm thì họ mã hóa. Tức là thay vì hash(pepper + salt + password) thì họ AES256(salt + password) + global-pepper-key. Theo như họ giải thích, tiêu là một lớp phòng thủ sâu hơn và lưu trữ ở một nơi riêng biệt. Nhưng đồng nghĩa với công việc là nơi lưu trữ tiêu vẫn có thể bị thỏa hiệp, và khi bị thỏa hiệp thì việc xoay phím không dễ dàng. Sử dụng tiêu để mã hóa vẫn đạt được mục đích bảo mật tương tự nhưng thêm khả năng xoay khóa khi bị xâm phạm. fixed length of input-password. Theo Dropbox thì việc này giải quyết 2 vấn đề của bcryptMột số triển khai của bcrypt đầu cắt vào còn 72 byte. Một số triển khai khác của bcrypt thì không cắt đầu vào nhưng dẫn đến một vấn đề khác là tấn công DoS do cho phép tùy chọn độ dài mật khẩu. Dropbox cũng có tiêu toàn cầu nhưng thay vì dùng nó để băm thì họ mã hóa. Tức là thay vì hash(pepper + salt + password) thì họ AES256(salt + password) + global-pepper-key. Theo như họ giải thích, tiêu là một lớp phòng thủ sâu hơn và lưu trữ ở một nơi riêng biệt. Nhưng đồng nghĩa với công việc là nơi lưu trữ tiêu vẫn có thể bị thỏa hiệp, và khi bị thỏa hiệp thì việc xoay phím không dễ dàng. Sử dụng tiêu để mã hóa vẫn đạt được mục đích bảo mật tương tự nhưng thêm khả năng xoay khóa khi bị xâm phạm |
