BCrypt — это криптографический алгоритм хэширования, разработанный специально для безопасного хранения паролей. В основе алгоритма лежит шифр Blowfish, что делает его устойчивым к различным атакам.

Сравнение с другими алгоритмами:

▫️MD5 и SHA-1
Данные алгоритмы устарели и имеют следующие недостатки:
o Уязвимы к коллизиям — ситуациям, где разные входные данные дают одинаковый хэш.
o Слишком быстрые для вычисления, что облегчает атаки методом перебора.

▫️SHA-256
Несмотря на то, что алгоритм криптографически более стойкий, его высокая скорость работы остаётся проблемой. Атаки методом перебора с использованием GPU всё ещё представляют угрозу.

Преимущества BCrypt:

1️⃣Адаптивность
BCrypt позволяет настроить параметр сложности (cost factor), который определяет количество итераций при хэшировании пароля. С ростом вычислительных мощностей этот параметр можно увеличивать, чтобы сделать хэширование более ресурсоёмким, сохраняя защиту на должном уровне.

2️⃣Использование соли
Уникальная «соль», генерируемая для каждого пароля, делает невозможным создание универсальных радужных таблиц для взлома.

3️⃣Защита от параллельных вычислений
Алгоритм BCrypt эффективно противостоит попыткам взлома с использованием параллельных вычислений благодаря своей архитектуре. Алгоритм требует значительных ресурсов и времени даже для одного хэширования, что снижает эффективность массового перебора паролей на GPU или в многопоточных системах.
Кроме того, его последовательная структура делает ускорение таких вычислений практически невозможным.

#ИБ

Мир всё активнее говорит о беспарольной аутентификации, и технология Passkeys, основанная на стандарте FIDO, становится одним из её флагманов. Идея избавиться от паролей не нова, однако широкого распространения до недавнего времени она не получала из-за ряда технических и организационных сложностей.

Основой технологии Passkeys являются две части: приватный и публичный ключи:

▫️Приватный ключ – хранится только на устройстве пользователя и никогда не передается в сеть.
▫️Публичный ключ – отправляется на сервер для создания пары.
При входе пользователь подтверждает личность на своем устройстве с помощью биометрического метода (отпечаток пальца, распознавание лица) или PIN-кода. Эти действия позволяют использовать приватный ключ для подтверждения личности на сервере. Доступ в таком случае предоставляется только при совпадении данных.

Если для входа используется новое устройство, достаточно отсканировать QR-код с смартфона или воспользоваться Bluetooth для быстрой аутентификации.
Ключи синхронизируются через облако с использованием сквозного шифрования, позволяя восстановить доступ в случае утери одного из устройств.

Преимущества:
▫️Высокая устойчивость к классическому фишингу.
▫️Защита данных. Публичный ключ бесполезен без приватного.
▫️Удобство. Не нужно запоминать пароли.
▫️Универсальность. Работает на всех популярных платформах.
▫️Снижение риска утечек. В случае компрометации серверов ваши данные останутся защищенными.

Недостатки:
▫️Зависимость от устройств. Чтобы утеря устройства не привела к потере доступа, необходимо всегда помнить PIN-код и иметь возможность подтвердить личность с помощью биометрического метода, либо регистрировать несколько устройств для доступа с помощью Passkey.
▫️Ограниченная поддержка. Далеко не все сервисы внедрили данную технологию.
▫️Технология подвержена атакам adversary-in-the-middle (AitM). Злоумышленники могут модифицировать процесс аутентификации и удалить со страницы входа любые упоминания технологии Passkey.

#ИБ
#ПолезноЗнать

Публикуем девятый выпуск «Непропустимых» событий ИБ. Мы активно следим за интересными мероприятиями по тематике информационной безопасности и приватности. Сегодня представляем наши рекомендации на январь 2025 года.

Подборка мероприятий в файле под этим постом ⬇️

#Непропустимыесобытия