Подобные пароли имеют подобные хеши?

Имеют ли похожие пароли похожие хэши?

Нет.

Любое сходство, даже сложная корреляция, будет считаться слабым местом хеш-функции. После обнаружения криптосообществом он будет опубликован, и достаточное количество обнаруженных слабых мест в хэше в конечном итоге приведет к совету больше не использовать этот хеш.

Конечно, невозможно узнать, есть ли у хэша необнаруженные слабые места или уязвимости, известные злоумышленнику, но не опубликованные, и в этом случае, скорее всего, злоумышленник является хорошо финансируемой правительственной организацией. АНБ, безусловно, владеет закрытыми теоретическими атаками на некоторые криптографические компоненты, но можно ли использовать эти атаки - другой вопрос. GCHQ наверное есть. Я предполагаю, что в нескольких других странах есть секретные криптографические программы с достаточным количеством математиков, чтобы проделать оригинальную работу: Китай был бы моим первым предположением. Все, что вы можете сделать, это действовать на основе самой достоверной доступной информации. И если наилучшая доступная информация говорит о том, что хеш «полезен для криптографии», то это означает, что подобного рода полезные сходства отсутствуют.

Наконец, некоторые системы используют слабые хэши для паролей - либо из-за незнания разработчика, либо из-за устаревших. Все ставки отменены для свойств схемы хеширования, которая либо не была подвергнута публичному рассмотрению, либо была проверена и признана нецелесообразной, либо достаточно устарела, чтобы в конечном итоге были обнаружены существенные недостатки.MD5 не работает для некоторых целей (поскольку существуют практические средства для генерации коллизий), но не для всех целей. Насколько мне известно, это нормально в том смысле, что здесь нет практической атаки на предварительное изображение, и наличие горстки хэшей связанных открытых текстов не лучше, чем наличие горстки хэшей несвязанных открытых текстов. Но по несвязанным причинам вам в любом случае не следует использовать одно приложение с каким-либо хешем для хранения паролей, вам следует использовать несколько раундов.

Может ли хакер увеличить свои шансы на взлом пароля, если у него есть список хэшей схожих паролей?

Косвенно, да, зная, что это ваши старые пароли. Не из-за какого-либо свойства хэша, но предположим, что злоумышленнику удается (очень медленно) подобрать один или несколько ваших старых паролей, используя эти старые хэши, и видит, что в прошлом это были «thisismypassword3» и «thisismypassword4». .

Ваш пароль с тех пор был изменен на thisismypassword5. Молодец, изменив его до того, как злоумышленник взломал его, вы успешно гарантируете, что злоумышленник не восстановит ценный пароль! Победа! За исключением того, что это бесполезно, поскольку злоумышленник в любом случае имеет возможность быстро угадать новый, используя старый пароль (пароли).

Даже если у злоумышленника есть только один старый пароль, и поэтому он не может легко определить тенденцию, взломщики паролей работают, пробуя пароли, которые похожи на слова словаря и другие значения.Чтобы немного упростить, он сначала попробует слова из словаря, затем строки, состоящие из слова с добавленным, удаленным или измененным одним дополнительным символом, затем строки с двумя изменениями и так далее.

Включив ваш старый пароль в «другие значения», злоумышленник может гарантировать, что строки, очень похожие на него, проверяются на ранних этапах процесса взлома. Итак, если ваш новый пароль похож на старый, то наличие старых хешей действительно имеет некоторую ценность для злоумышленника - изменение любого из них дает ему хорошее семя для взлома вашего текущего пароля.

Таким образом, регулярное увеличение пароля ничего не дает. Изменение вашего пароля на что-то, что можно угадать по старому паролю, поставит вашего злоумышленника в такое же положение, в каком он оказался бы, если бы он вообще ничего не знал, но ваш пароль можно было угадать вообще из ничего.

Основными практическими атаками на системы паролей в наши дни являются перехват (с помощью клавиатурных шпионов и других вредоносных программ) и фишинг. Попытка перевернуть хэши паролей - не лучший процент атаки, хотя, если злоумышленник каким-то образом завладел файлом / etc / passwd или его эквивалентом, он таким образом взломает некоторые слабые пароли в средней системе.