Что и требовалось доказать. Если бы, да кабы.
Я для чего пример брута привел? Где гарантии, что через пару лет ваша crypt() не будет щелкнута как орех, что для неё не будет тех же радужных таблиц? Я не зря привел выдержку из вашего же пруфа:

До 2012 года тоже так же рассуждали, мол никто не сможет, мол миллионы итераций... А вона как повернулось.

А у меня тоже самое по сути, только еще одна препонка есть. Да, да, тот самый $logic, до которого еще добраться нужно. Если есть доступ в БД, то ваш все данные в руках жулика. Но у него нет доступа к PHP. И значит нет значения $logic. И ему не помогут ни радужные таблицы, ни сумашедшее быстродействие, ни вообще ничего. Только доступ в конфигу.

Так что демагогия это, самая настоящая. Вы пытаетесь убедить меня, что два замка хуже одного. Ну ведь глупо.

Что касается миллиона итераций, еще раз спрошу. В чем моя функция в этом плане принципиально хуже штатной crypt()?

Да можете не отвечать, я понимаю, что конкретного ответа нет. Одна демагогия.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Я открою небольшой секрет. Есть еще и другие люди. И другой опыт. И если вы там где-то обожглись на молоке, не нужно расстреливать инакомыслящих. Еще раз повторю:
эта ошибка может возникнуть только тогда, когда используется стиль K&R. У меня даже сомнения не возникает, что там один оператор.

А я, если уж взялся учить другому стилю, должен сразу же приучать юниоров к нему. Именно так, а не иначе. И никого не расстреливаю, если кто-то пишет скобки.

Вы немножко спуститесь с Олимпа то, с чего вы решили, что боги пишут в "рациональном" стиле? Что всех под одну гребенку то? И меня же упрекаете, что

Я то слышу, и согласен с вашим стилем. Нравится - ваше право. Почему меня расстрелять?

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Я даже в статье написал:

Фишка функции вовсе не в миллионах итераций, а в том, что неизвестен алгоритм хэширования. Какой же идиот будет писать миллион...

Вы вот меня упрекаете в плохом знании криптографии, в том, что я не знаю про радужные таблицы. А сами не понимаете простой вещи, что даже если известен алгоритм (та самая $logic), и он не такой уж и большой, пусть 6 итераций, как в статье, получить пароль vendor34rex27-47 из хэша даже с известной солью, даже с одной единственной для всех хэшей, практически невозможно. Не говоря уже об индивидуальной соли, для особых параноиков.

А что уже говорить о такой соли, которая в статье для примера: ds$e2(dx#s

Посчитайте на досуге, сколько нужно сотен машино-лет, что бы подобрать хотя бы коллизию, я про сам пароль вообще молчу.

А получить пароль qwerty или 111111 с любой солью можно раз пукнув и из crypt(), даже не дожидаясь мощностей. Так какая разница?

Я спросил про принципиальное различие, не про устройство. Какая разница, сколько там итераций. Принципиальное, значит технически возможный взлом хэша. Ну или невозможность этого взлома. Так вот, подумайте, прежде чем отвечать.

Какая разница, сколько там итераций, если и то и другое выдают на гора одинаковостойкие (на сегодняшний день) хэши?

А вот неизвестная составляющая - это плюсик. Небольшенький, но плюсик. Второй замочек, как бы вы не упирались.

Да, я понимаю, ваш замок блестит и сверкает, он разрекламирован как непробиваемый и невскрываемый. Не спорю.

Но зачем спорить со мной, что мой замок хуже? И уж тем более зачем спорить, что два замка хуже чем один?

Я просто теряюсь в догадках. Как можно так забить голову всякими википедиями, что не видеть простого...

Код привести в пример?

А в чем различие? Могу так же точно написать.

return criptPassword(
            $password,
            CRYPT_LOGIC_ALGORITHM, 
            $this->generateSalt(CRYPT_SALT_LENGTH)
        );

Я не улавливаю принципиального различия.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Воу, воу, воу! Не нужно на меня свешивать всех собак. У меня так не бывает. И быть не может, ибо это тоже регламентировано стилем. Ну разве что первый вариант, и то я с удивлением только сейчас увидел. Ни у кого в здравом уме не возникнет желание сделать так. Остальное притянуто за уши.

В вашем стиле я тоже могу таких казусов нарисовать кучу, если постараюсь. Зачем только, я никого расстреливать не собирался. Используйте скобки когда хотите, ваше право.

А ссылку, таки да, оставьте. Место не пролежит. Только что с того, все равно это не стандарт, ибо стандартов на сегодняшний день нет. К тому же она не открылась.



_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Пароль: 237

А теперь прибавим еще пару итераций. Просто две. Или четыре для ровного счета. Если уж ресурс настолько привлекателен, что у кого-то возникнет желание гонять десяток машин полгода, дабы вскрыть один единственный пароль. Сколько потребуется теперь?

Кто это сказал? Я еще раз повторяю, внимательно смотрим функцию. Соль туда передается аргументом. И это неспроста. Есть желание или совсем страшно, да ради Бога, делаем соль индивидуальной. Радужные идут лесом, хотя они и так будут применяться при таком раскладе только в очень теоретическом сне. Ну да, согласен, будем оперировать такими ресурсами, как "пентагон", пусть куча хакеров со всех сторон норовят поиметь нашу базу. Уговорили. Пусть соль будет индивидуальной. С радужными таблицами решен вопрос?

Упс! А не я ли написал это:

Или crypt() не подвержена словарю?
Да, понимаю. Итерации. Микросекунды. Я одного понять не могу, неужели вы реально так заморочены, что считаете полгода (а с 10-ю итерациями гораздо больше) или три года - это принципиально? Есть порог рентабельности. Если база юзеров настолько ценна, что полгода на один пароль - не срок, то тогда о чем мы говорим. Да и вообще, на сколь-нибудь значимых ресурсах (не вконтактики и бложики имеется ввиду) совершенно другие принципы авторизации. С СМС-ками допустим. Кому эти пароли нахрен нужны, чтобы тратить столько ресурсов?

Вы не согласны со мной? Вы будете утверждать, что найдется такой дурак, который сперев базу данных этого форума, потратит сотню лет на взлом хэшей?

Я еще раз говорю. Есть порог разумного. Это примерно как с двигателем на машину. Можно теоретически поставить движок, который разгонит её до 700 км/ч. Но что с этого толку?

Теоретически неверные. Теоретически. Я давно уже понял, что вы - чистой воды теоретик. Начиная с обилия пруфов и отсутствием логических обоснований, заканчивая этими выкладками:

Бесспорно. Тысяча лет больше чем сто. Только толку то от тысячи, если и ста достаточно.

Опа! Так это ваше "творение"? Статья в вики? Ну тогда всё вообще становится на свои места. А как же это:

Что касается соли, в сотый раз повторю. Если есть такое желание, моя функция предусматривает использование индивидуальной соли. Правда я не вижу в ней смысла (читай выше). Вы просто перестраховщик, а пытаетесь выдать это за грамотность в криптографии. Ну да, как же. Статья в вики, это же авторитет! Не то что какой то там замученый бложек. Сейчас люди почитают и поверят. И начнут на жигули движки от ракетоносителей ставить.

Вобщем то и мне все ясно. Поддерживаю эту идею.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.