回答編集履歴
1
計算間違いを修正しました。論旨に変更はありません。
test
CHANGED
|
@@ -10,7 +10,7 @@
|
|
|
10
10
|
|
|
11
11
|
maisumakunさんから『攻撃者は「クライアントが送信するハッシュ値」を総当りするところからスタートできる』という指摘がありますが、現実にはこれは困難です。
|
|
12
12
|
|
|
13
|
-
なぜかというと、上記のようにSHA-256ハッシュをサーバーに送信する例で考えると、すべてのハッシュ値のとり得る値は 2^256 で 約 1.16e+77 通りあります。これに対して8桁英数字の総数は 62^8 で約2.81e14 で、1万回ストレッチすると、2.81e1
|
|
13
|
+
なぜかというと、上記のようにSHA-256ハッシュをサーバーに送信する例で考えると、すべてのハッシュ値のとり得る値は 2^256 で 約 1.16e+77 通りあります。これに対して8桁英数字の総数は 62^8 で約2.81e14 で、1万回ストレッチすると、2.81e18回のハッシュ計算を要することになりますから、**ハッシュ値での総当りは現実性がなく、結局パスワードから総当りした方がはるかに効率がよい**ことになります。
|
|
14
14
|
|
|
15
15
|
|
|
16
16
|
|