Versuch, Pinunsicherheit nachzuweisen richtig?

[photoedit]

Hallo @ All!

Ich habe vor ein paar Wochen das erste mal das Wirtschaftsmagazin PlusMinus gesehen. An diesem Abend ging es u. a. um die Unsicherheit der Pins bei den Banken. Für jeden Pin würde es mehrere Möglichkeiten geben, d. h. Betrueger (darf ich leider wegen der BadWord-List nicht mit "ü" schreiben ) würden mehr Chancen haben.

Nun hatte ich von einer anderen (privaten) Quelle gehört, dass bei Hash-Algorithmen mehrere Strings den gleichen Hashcode haben können.

Ich habe die beiden Fakten gedanklich verbunden und wollte mit einem PHP-Script der Sache auf den Grund gehen:

<?php
$pin_hash = md5 ($_GET['pin']);
$i = 0;

for ($i = 0; $i <= 9999; $i++) {
$status = '';
$i_digits = str_pad ($i, 4, "0", STR_PAD_LEFT);
$i_hash = md5 ($i_digits);
if ($pin_hash == $i_hash) {
$color = 'green';
$status = 'Volltreffer!';
}
else {
$color = 'red';
}
echo $i_digits . ' -> <font color="' . $color . '">' . $i_hash . '</font>' . $status . '<br />';
}
?>

Das Script ist in sofern gescheitert, als dass es mir nur den Pin als, wie oben benannten, "Volltreffer!" ausgegeben hat. Ist meine Denkweise bzw. mein Ansatz richtig?

Ich hoffe Ihr habt Spass mir bei einer ungewöhnlichen (Schnapps-)Idee zu helfen!

photoedit

P. S.: Den zu prüfenden Pin über den Query-String übermitteln!

 

[Duddle]

AW: Versuch, Pinunsicherheit nachzuweisen richtig?

Was ist denn hier deine konkrete Frage?
Der Quellcode funktioniert und deine "Quelle" hat natürlich recht: ein zentrales Problem von Hashfunktionen sind mögliche Kollisionen. Es gibt zwar sehr viele mögliche Hashwerte (konkret bei MD5 2^128, also rund 3,4 * 10^38), aber das sind auch nur endlich viele.

Falls deine Vermutung ist, dass das doch viel zu unsicher ist (von wegen aus MD5-Hash den PIN schliessen), solltest du den verlinkten Wikipedia-Artikel und auch über Hashes mit zusätzlichem Salt lesen


Duddle

 

[photoedit]

AW: Versuch, Pinunsicherheit nachzuweisen richtig?

Nein, ich meinte nicht, dass es zu unsicher ist, weil man aus dem Hash den Pin schließen kann, sondern wegen mehreren möglichkeiten (das kommt nicht von mir, sondern eben von PlusMinus)

Ich wollte eigentlich nur ausprobieren, ob man zu einem Hash eines Pin mehrere andere Pins finden kann. Und damit wollte ich fragen, ob der Ansatz so richtig ist. Da ich jetzt weiß, dass der Quellcode richtig ist und es sehr unwahrscheinlich ist, das ein Hashwert eines Pins auf andere Pins genauso zutrifft, habe ich jetzt noch die Frage, ob man das sonst noch irgendwie herausfinden kann, welche Pins den gleichen Hashwert besitzen!

 

[Duddle]

AW: Versuch, Pinunsicherheit nachzuweisen richtig?

habe ich jetzt noch die Frage, ob man das sonst noch irgendwie herausfinden kann, welche Pins den gleichen Hashwert besitzen!

Dafür müssten die Hashes jedes Pins einmal berechnet und abgespeichert werden, dann kannst du diese normal gegeneinander vergleichen. Es gibt keine Möglichkeit, von der Ausgabe einer Hashfunktion auf die Eingabe(n) zu schliessen.

Auf deinem Code aufbauend kann man auch fix eine Funktion bauen, die alle 9999 Hashes gegeneinander vergleicht:

<?php
set_time_limit(60);
$hashes = array();
$max = 9999;

for ($i = 0; $i <= $max; $i++) {
	$i_hash = md5(str_pad($i, 4, "0", STR_PAD_LEFT));
	$hashes[$i] = $i_hash;
}

for ($i = 0; $i <= $max; $i++) {
	for($j = $i + 1; $j <= $max; $j++) {
		if($hashes[$i] == $hashes[$j]) {
			echo "$i, $j : ".$hashes[$i]."<br />";
		}
	}
	flush();
}
echo "fertig";
?>

Duddle

 

[photoedit]

AW: Versuch, Pinunsicherheit nachzuweisen richtig?

Okay, danke Dir für Deine Antworten, ich werde es morgen ausprobieren!


Add: Feb., 2. 2010 (16:00):

So, habe das Script jetzt ausprobiert. Heißt das denn jetzt (wenn das Script nichts bzw. "fertig" ausgibt), das es keine mehreren Möglichkeiten für einen Pin in diesem Fall geben kann? Oder könnten das die Banken eventuell auch anders gelöst haben?