Nota video

Teks penuh video

Kalau kau kunci peti harta kau dengan kata laluan satu dua tiga empat, kau rasa dah selamat macam bilik kebal bank! Padahal itu antara kata laluan paling popular di dunia. Tapi serangan brute force cuba setiap kombinasi, dan empat digit cuma ada sepuluh ribu kemungkinan, habis diteka dalam beberapa saat!

Jadi, kau panjangkan kata laluan sekurang-kurangnya dua belas aksara bercampur huruf, nombor dan simbol, sampai kombinasinya berbilion-bilion kali ganda. Ini namanya kekuatan kata laluan. Tapi penggodam bijak tak teka huruf rawak, dia guna dictionary attack, iaitu senarai berjuta kata laluan bocor macam qwerty dan iloveyou!

Jadi, kau guna frasa laluan empat perkataan rawak yang tak berkaitan, atau biar password manager jana untuk kau. Ini namanya passphrase rawak. Tapi robot penceroboh masih boleh hentam pintu log masuk beribu kali seminit tanpa penat!

Jadi, server kau hadkan cubaan, contohnya lepas lima kali salah, kena tunggu makin lama, atau akaun dikunci sementara. Ini namanya rate limiting. Tapi kalau pangkalan data server kau dicuri, semua kata laluan tersimpan terang-terang dan boleh dibaca terus!

Jadi, server simpan kata laluan sebagai hash, iaitu cap jari sehala yang tak boleh diterbalikkan. Masa log masuk, server cuma bandingkan hash. Tapi penggodam ada rainbow table, iaitu buku gergasi berisi hash yang dah dikira awal untuk berjuta kata laluan, lalu dia cuma cari padanan!

Jadi, server tambah salt, iaitu rentetan rawak unik untuk setiap pengguna sebelum proses hash, dan guna algoritma perlahan macam bcrypt. Ini namanya salted hashing. Sekarang peti kau dikawal kata laluan panjang, had cubaan, dan hash bergaram yang buat rainbow table tak berguna.

Tambah pula pengesahan dua faktor, penggodam pun putus asa! Tahniah, kau dah faham cara brute force dan dictionary attack berfungsi. Lepas ni nak belajar apa pula?

Siri Teknologi dan AI dalam animasi 3D LEGO (V916-091) oleh KongsikanDotCom. Tonton lagi di