Baiklah semuanya.
Jadi sekarang kita telah membahas pembuatan kata sandi pengguna yang mengenkripsi basis data kita dan juga
hashing kata sandi, kita telah mencapai tingkat keamanan seperti kebanyakan situs Web.
Sekarang ada lebih banyak keamanan yang akan kita pelajari sedikit kemudian.
Tapi Anda benar-benar pada titik di mana Anda sudah tahu banyak tentang otentikasi dan menjaga
kata sandi pengguna aman dan jelas lebih banyak daripada banyak orang yang benar-benar menjalankan situs Web.
Dan saya tahu bahwa beberapa dari mereka ingin mendapatkan pekerjaan.
Dan jika itu Anda maka saya ingin Anda pergi ke situs Web yang disebut plaintext offenders dot com atau tautan
ke sana dalam sumber daya kursus.
Tapi di sini yang akan Anda temukan adalah surel yang datang dari berbagai perusahaan tempat
pengguna meminta untuk mereset kata sandi mereka dan mereka mengirimkan versi teks kata sandi mereka kepada pengguna.
Sekarang pada titik ini kita tahu untuk bisa mendapatkan kata sandi pengguna di plaintext.
Itu berarti mereka melakukan beberapa hal mengerikan dengan mengamankan kata sandi.
Entah itu dienkripsi dan ada kunci enkripsi di suatu tempat yang mereka simpan atau itu hanya disimpan
di database mereka sebagai teks biasa yang merupakan jenis keamanan yang paling buruk.
Jadi, mengingat Anda sudah tahu jauh lebih baik daripada orang-orang yang menjalankan pekerjaan Linux dot com atau dunia Sim dot com
atau Telecom Egypt maka Anda sebenarnya bisa mengirim email kepada orang-orang ini dan memberi tahu mereka bahwa saya adalah pengembang
web dan saya tahu tentang otentikasi dan pengamanan kata sandi pengguna.
Anda jelas terlihat seperti Anda mungkin butuh bantuan.
Apakah Anda ingin saya bekerja untuk Anda?
Saya sarankan untuk mencobanya jika Anda ingin mendapatkan pekerjaan.
Jika Anda tidak mencari pekerjaan maka lihatlah situs-situs Web ini.
Dan jika Anda mendaftar ke salah satu dari mereka pastikan untuk menghapus akun Anda karena itu pasti tidak aman.
Dan inilah mengapa banyak perusahaan banyak situs Web diretas karena mereka tidak melanjutkan hal
ini.
Jadi itu berarti ini saat yang tepat untuk berbicara dengan Anda tentang cara meretas kata sandi.
Jadi semacam peretasan kata sandi satu atau satu kelas jika Anda mau.
Sekarang sebagian besar waktu saya menggunakan kekuatan pemrograman saya untuk selamanya.
Tetapi dalam hal ini saya ingin berbicara kepada Anda tentang bagaimana kata sandi mungkin diretas sehingga setelah kami
memahami bagaimana pihak lain mendekati masalah ini maka kami dapat mempelajari lebih lanjut tentang keamanan dan membuat situs web kami
lebih aman bagi pengguna.
Dan omong-omong saya tidak tahu.
Hai.
Peretas selalu digambarkan dalam balaclava.
Tidak seperti orang seperti itu atau siapa pun.
Maksudku terutama orang ini.
Dia pasti sangat hangat duduk di sebelah semua komputer ini mengenakan begitu banyak pakaian di wajahnya.
Tapi saya ngelantur.
Jadi sebagai perusahaan, ini mungkin salah satu hal yang paling tidak Anda tunggu-tunggu ketika Anda bangun
dan mendapat telepon dan Anda telah diretas.
Dan ini baru-baru ini terjadi pada banyak perusahaan besar seperti Adobe Creative Cloud yang diretas
pada tahun 2013. LinkedIn diretas pada tahun 2012 dan ada banyak akun di mana kata sandi mereka bocor, banyak pengguna
yang tidak senang yang menggunakan kembali kata sandi mereka dan merasa sangat rentan.
Dan Anda dapat melihat bahwa bahkan hingga hari ini orang dapat membeli akun yang
diretas ini di mana orang mungkin tidak menyadari bahwa mereka ditautkan dalam surel dan kata sandi mereka ditautkan
dan orang berpotensi membeli data itu dan menggunakannya untuk meretas ke Akun PayPal atau portal pembayaran serupa lainnya.
Jadi, bahkan jika Anda tidak belajar apa pun dari pelajaran ini, saya sarankan hanya pergi ke situs Web ini tautan ke sana dalam
sumber daya kursus hanya untuk tujuan pendidikan tetapi taruh di alamat email Anda dan pastikan bahwa jika
Anda memiliki kata sandi muncul perubahan atau tempat di mana Anda menggunakan kata sandi itu.
Tetapi mengapa semua perusahaan besar ini diretas dan membocorkan kata sandi penggunanya karena mereka
setidaknya tidak mengenkripsi atau membuat kata sandi mereka.
Ya mereka.
Tapi pertimbangkan ini.
Jadi, Anda seorang peretas dan Anda berhasil masuk ke basis data pengguna LinkedIn dan hanya demi kesederhanaan, katakanlah
sepertinya Anda memiliki nama pengguna dan Anda mendapat hash.
Dan untungnya mereka tidak menyimpan kata sandi pengguna mereka dalam teks biasa.
Anda tidak dapat langsung mengakses kata sandi mereka.
Namun jika Anda melihat tabel ini sedikit lebih dekat, Anda akan menyadari bahwa
tiga hash benar-benar identik.
Sekarang mengapa demikian.
Ingat juga bahwa kata sandi yang sama selalu berubah menjadi hash yang sama tidak peduli seberapa sering Anda mencobanya.
Dan itu adalah bagian inti dari fungsi hash yang kami andalkan untuk memvalidasi pengguna kami juga sehingga itu berarti
seorang hacker akan melihat tabel ini dan menyadari bahwa Angela Tony dan Emily semuanya memiliki kata sandi
yang sama.
Dan apa yang dapat mereka lakukan adalah mereka dapat mulai membangun apa yang kita sebut tabel hash.
Jadi Anda akan mengambil beberapa kata sandi yang paling umum digunakan dan Anda akan menggunakan fungsi hash
yang sama untuk membuat nilai hash untuk masing-masing.
Dan ini adalah beberapa kata sandi paling umum yang suka digunakan orang.
Satu dua tiga empat lima enam kata sandi unik 1 1 1 1 1 1.
Jadi Anda menghasilkan tabel hash ini dan kemudian yang harus Anda lakukan hanyalah melihat hash pengguna dan membandingkannya
dengan hash yang Anda miliki di tabel Anda.
Jadi Anda mencari berdasarkan nilai hash dan Anda mendapatkan kata sandi yang berkualitas.
Jadi sekarang Anda tahu bahwa tiga dari empat pengguna dalam tabel ini semuanya memiliki kata sandi yang sama.
Dan itu aneh.
Jadi bagaimana jika mereka tidak menggunakan salah satu kata sandi yang paling umum dan sebaliknya mereka menggunakan sesuatu yang lain
mengatakan tanggal lahir mereka atau nama hewan peliharaan itu.
Baiklah mari kita lihat bagaimana kita akan membuat tabel hash jika kita seorang hacker.
Anda mungkin akan mulai dengan semua kata dari kamus.
Dan dari sinilah istilah serangan kamus berasal.
Anda membuat hash dari semua kata yang mungkin dalam kamus.
Dan itu hanya akan menjadi sekitar 150000 hash yang perlu Anda buat.
Dan kemudian Anda menambahkan ke tabel hash atau angka-angka dari buku telepon
dan semua kombinasi karakter hingga enam tempat dan kemudian Anda menambahkan semua ini bersama-sama dan Anda
berakhir dengan sesuatu yang mendekati sembilan belas koma delapan miliar kombinasi yang memang terdengar seperti sejumlah besar benar.
Berapa lama yang dibutuhkan komputer Anda untuk menghitung banyak hash.
Jadi apa yang kita lakukan.
Baiklah mari kita berbelanja.
Mari kita pergi dan membeli beberapa penggunaan PDB terbaru atau kartu grafis yang mampu
pemrosesan paralel dan karenanya sangat cocok untuk tidak hanya menambang bitcoin tetapi juga menghasilkan hash
dengan salah satu penggunaan Jeep terbaru Anda dapat menghitung sekitar 20 miliar kosong lima cache per kedua.
Jadi itu berarti dengan semua tabel hash dari sembilan belas koma delapan miliar kombinasi hanya akan mengambil salah
satu dari Jeep ini menggunakan nol titik sembilan detik yang tidak ada banyak waktu untuk berinvestasi untuk hash begitu
banyak kata sandi orang dan untuk membuatnya lebih buruk lagi tabel hash besar telah dibangun untuk kata
sandi yang paling umum.
Jadi karena kami memiliki begitu banyak data dari peretasan sebelumnya seperti adobe satu atau yang LinkedIn atau TalkTalk
atau Equifax kami tahu kata sandi apa yang paling umum digunakan orang.
Dan setiap tahun perusahaan seperti Splash data akan mengkompilasi kata sandi apa yang paling umum digunakan sebagai
25 teratas.
Dan dari sinilah semua nilai-nilai yang masuk ke meja kami berasal.
Tetapi Anda benar-benar dapat melangkah lebih jauh.
Ada tabel hash pra-bangun yang dibuat orang untuk 10.000 kata sandi paling umum teratas dan Anda dapat melihat bahwa lima
kosong adalah salah satu hash tercepat untuk dihitung dan inilah mengapa sangat umum untuk menemukan lima
tabel hash kosong dan Anda dapat bahkan menggunakan Google sebagai tabel hash dasar yang dapat Anda tempel di hash yang
Anda temukan dari basis data yang diretas.
Anda melakukan pencarian google sederhana dan Anda menghasilkan kata sandi asli.
Sekarang jika pada titik ini Anda sangat takut dan Anda bertanya-tanya dengan baik apa sebenarnya yang dapat Anda lakukan tentang
ini.
Pertimbangkan juga bahwa di tabel pengguna kami ada satu hash yang sangat sulit ditemukan dan tidak
cocok dengan hash dalam tabel hash sederhana yang kami buat ini.
Jadi bagaimana jika kita memasukkannya ke google untuk mencari dalam skala yang lebih besar dan melihat apakah itu cocok dengan hash
apa pun di tabel hash yang dibuat orang.
Dan itu tidak cocok dengan apa pun.
Dan alasannya adalah karena ketika John menciptakan kata sandi, ia memiliki kata sandi yang sangat sangat kuat dengan
huruf besar, huruf kecil, simbol angka tetapi yang paling penting adalah kata sandi yang panjang.
Ketika Anda berpikir tentang hashing sebagai rumus matematika, Anda akan menyadari bahwa ketika jumlah
karakter kata sandi Anda meningkatkan waktu komputasi yang diperlukan untuk memecahkannya, maka akan meningkat secara eksponensial.
Jadi tidak masalah jika akun Anda di LinkedIn atau Adobe Creative Cloud atau Ashley Manson dibobol
selama Anda memiliki kata sandi yang salah.
Mereka tidak akan bisa menyelesaikannya dari tabel hash.
Jadi sebagai contoh ada sebuah situs web yang disebut pemeriksa kata sandi dan Anda dapat memasukkan kata sandi Anda
dan itu akan memberi tahu Anda tidak hanya kekuatan tetapi juga berapa lama akan dibutuhkan berbagai jenis mesin untuk dapat
memecahkan kata sandi itu.
Jadi katakanlah saya membuat kata sandi enam karakter yang terdiri dari serangkaian karakter acak yang benar.
Satu dua tiga empat lima enam.
Dan Anda dapat melihat bahwa bahkan untuk P. desktop standar C. hanya perlu sekitar tiga detik
untuk melakukan serangan brute force untuk memecahkan kata sandi itu.
Tapi mari kita lihat apa yang terjadi jika saya menambahkan enam karakter lagi satu dua tiga empat lima enam Sekarang butuh 31 tahun untuk
desktop standar P. C. menjadi untuk memecahkannya dan bahkan cepat G. P. Anda butuh dua tahun untuk memecahkan kata
sandi saya.
Jadi meskipun semua situs Web menganjurkan Anda untuk menambahkan huruf besar huruf kecil beberapa angka dan beberapa
karakter acak jika Anda hanya memiliki enam karakter dalam kata sandi Anda.
Jadi kata sandi singkat masih tidak butuh waktu lama untuk dipecahkan.
Jadi hal yang paling penting dalam membuat kata sandi yang kuat yang hampir ada di Crackle
adalah meningkatkan jumlah karakter dan juga mencegah diri Anda menjadi korban serangan kamus.
Pastikan Anda tidak menggunakan kata kamus atau nama tempat atau sesuatu yang ada di direktori di
suatu tempat seperti nomor telepon.
Baiklah.
Jadi setidaknya setelah pelajaran ini, Anda akan tahu bagaimana menjaga diri Anda lebih aman.
Tetapi dalam pelajaran berikutnya kita akan membahas kerentanan ini yang terjadi karena algoritma hashing yang
lemah.
Dan kita akan belajar bagaimana kita bisa memerangi peretas yang mencoba menyerang basis data kita menggunakan serangan
kamus atau dengan membuat tabel hash.
Jadi untuk semua itu dan lebih banyak lagi, sampai jumpa di pelajaran selanjutnya.
Tetapi sebagai bonus cepat jika Anda ingin menipu teman-teman Anda untuk berpikir bahwa
Anda adalah semacam peretas setidaknya menurut Hollywood, saya sarankan untuk memeriksa situs web yang disebut jenis
peretas atau dot net di mana Anda dapat hanya menumbuk keyboard dan Anda berakhir dengan sesuatu yang terlihat sangat realistis.
Tapi kata peringatan.
Cobalah untuk tidak melakukan ini di pesawat terbang atau di gedung pemerintah kecuali Anda benar-benar ingin diselidiki.