home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / alt / security / 3988 < prev    next >
Encoding:
Internet Message Format  |  1992-07-23  |  1.6 KB
  1. Path: sparky!uunet!zaphod.mps.ohio-state.edu!cs.utexas.edu!uwm.edu!psuvax1!rutgers!dziuxsolim.rutgers.edu!zodiac.rutgers.edu!leichter
  2. From: leichter@zodiac.rutgers.edu
  3. Newsgroups: alt.security
  4. Subject: Re: passwd security check
  5. Message-ID: <1992Jul23.092715.1@zodiac.rutgers.edu>
  6. Date: 23 Jul 92 13:27:15 GMT
  7. References: <1992Jul22.190827.30077@iitmax.iit.edu> <1992Jul22.221222.6185@Princeton.EDU>
  8. Sender: news@dziuxsolim.rutgers.edu
  9. Organization: Rutgers University Computing Services
  10. Lines: 20
  11. Nntp-Posting-Host: cancer.rutgers.edu
  12.  
  13. The odds are very much against it, but "same password with the same salt"
  14. will happen sometimes.  At Yale a number of years back, it happened - in the
  15. worst possible way:  Someone noticed that their salt and hashed password
  16. matched that of root!
  17.  
  18. One thing it's important to remember is that there are many passwords that
  19. hash to the same value.  Even if you and I have the same salt and the same
  20. hash value, it doesn't mean we chose the same password - though it DOES mean
  21. that either of our passwords will work on either account.
  22.  
  23. In hashing passwords, VMS uses both a random salt (16 bits worth) AND the
  24. UIC (user/group number, 32 bits) as part of the hash.  The components
  25. protect different things:  The random salt is unpredictable for any given
  26. user, so makes dictionary attacks harder.  The UIC is predictable - the UIC
  27. for the SYSTEM account is always [1,4], for example - but it means that no
  28. two different users ever have "comparable" hashed passwords, even if they end
  29. up with the same salt.  (Since protection is based on the UIC, different
  30. accounts with the same UIC already have complete access to each other.)
  31.  
  32.                             -- Jerry
  33.