תרגיל מתמטי של הסתרת מזהה רץ
-
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
המחשה של הפעולה:
https://replit.com/@davidlevtov/example-obfuscating-ids#index.jsאין לך שם טעות?
זה הפלט:{ aNumber: 747346087, bNumber: 453920023 } [ 300, 301, 302, 303, 304, 305, 306, 307, 308, 309, 310, 311, 312, 313, 314 ] [ 203826100, 951172187, 698518274, 445864361, 193210448, 940556535, 687902622, 435248709, 182594796, 929940883, 677286970, 424633057, 171979144, 919325231, 666671318 ] [ 304, 320, 320, 288, 304, 320, 320, 320, 304, 320, 320, 320, 320, 320, 320 ]המערך השלישי לא אמור להיות שווה לראשון?
-
-
-
@צדיק-תמים אמר בתרגיל מתמטי של הסתרת מזהה רץ:
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
הבעיה היא בגלל ההנתהגות של JS כשיש גלישה אריתמטית.
תוכל לפרט יותר? תודה.
בשלב השני, כלומר בפיענוח, המספרים גבוהים מאוד.
הרשימה המוצפנת מכילה למשל באיבר השני את המספר 951172187, אותו מכפילים כפול bNumber שערכו בדוגמה של @WWW הוא 453920023.
951172187*453920023 יוצא באקסל 431756101000000000, אולם בקונסול הוא יוצא 431756101000000300, בגלל שזה גודל מספר שחורג בהרבה מקיבולת הביטים המוקצים לטיפוס הנתונים של מספר בjavascript (שזה 53, לא כולל עוד כמה לסימון שלילי/חיובי וחזקות).
המקסימום המספרי שעובד כצפוי בJS זה הערך בקבוע Number.MAX_SAFE_INTEGER = 9007199254740991 (זה המון...).באמת במקרה הזה די להשתמש בBigInt רק בפיענוח.
-
@dovid אולי אני מבלבל את המוח.
אבל קראתי עכשיו את כל השרשור וניכר שלא ברור ככ לאנשים מה אתה רוצה.
עד כמה שאני הבנתי ממה שכתבת, היית צריך לכתוב כותרת פשוטה של 'אני צריך הצפנה, (סימטרית), אבל מאוד פשוטה וקלה על המעבד'.אני לא מבין בהצפנות כלל, לכן אין לי מה לתרום לנושא (אני יודע לעשות גוגל כנראה כמוך, ואם זה היה הנושא כנראה תגיע לתוצאות טובות יותר ממני)..
בנוגע לצורך עצמו - חשיפת id רץ מטבלה בדטבייס לקליינט - הייתי פשוט משתמש בטבלת הביקורים בשדה uuid אוטומטי (לא יודע באיזה DB אתה משתמש ועד כמה זה זמין שם, אבל משער שאתה תסתדר..) ופשוט שולח את ה-uuid לקליינט.
מה רע בזה? -
-
@chv אמר בתרגיל מתמטי של הסתרת מזהה רץ:
'אני צריך הצפנה, (סימטרית), אבל מאוד פשוטה וקלה על המעבד'
הסיבה שכותרת כזו לא מתאימה לי:
א. יש משמעות גדולה לכך שמדובר במספרים בלבד, וגם שיש ידע השערתי שישנו רצף.
ב. אני לא רוצה רמה של הצפנה, סה"כ הסתרה. שיצטרכו מחקר עמוק במיוחד להשיג את הנתון.
ג. גם הצפנה של AES היא יחסית קלה מאוד למעבד מודרני. אני ביקשתי שהמשמעות תהיה אפסית. רק להמחשה, פעולה חשבונית כפי מה שמצאתי כבר (ופירטתי על כך בהודעות לעיל) היא ככל הנראה פחות מעשירית ואולי מאית האחוז כנראה מכלל הפעולות של בקשה ותשובה בודדים בexpress...עריכה: הכותרת המקורית שלי גם מאוד מביאה לידי ביטוי דילמה פשוטה שאני מניח (אולי בטעות) שכל מפתח ווב ואפילו מפתחים אחרים אמורים להתחבט בה הרבה. לי אישית זה מציק תקופה ארוכה עד שהחלטתי לשאול פה ולחפש ככל יכולתי.
-
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
קראת טוב טוב את השאלה?
כן, כמובן.
הייתי צריך להשקיע קצת, אני חייב להודות, כי זה לא היה ברור בכלל. והסתבך עוד יותר בהמשך השרשור.פעולה חשבונית כפי מה שמצאתי כבר (החמצת את החלק הזה)
לא החמצתי כלל.
זו פשוט צורה של הצפנה מסוימת. זה מה שזה (תקרא לזה 'הסתרה' או איך שאתה רוצה. 'הצפנה' זו הסתרה של מידע מסוים כך שיהיה ניתן לפענח בפרוצדורה נפרדת).אני חוזר שוב על מה שכתבתי:
יש לך צורך (העברה של מזהה רץ לקליינט בלי שהקליינט יוכל לדעת באמת את היחסיות של המזהה הרץ בתוך הטבלה הכללית שלו).
אתה החלטת על דרך פתרון (העברת המזהה הרץ) ולכן אתה צריך עטיפה לפיתרון שלך כדי לא לחשוף דרכו את המזהה הרץ בצורתו המקורית.כמובן שמדובר על הצפנה מסוג כלשהו, ואתה כותב זאת בעצמך. אני כתבתי שאני לא מבין בזה ואין עניין שאכתוב משהו בנושא.
הצעתי דרך פתרון שונה לצורך שלך, כך שלא תסתמך על מזהה רץ אלא על uuid ("מזהה גלובלי"??). לא יודע אם זה מתאים לך, אם יש לזה עלויות נוספות. לא יודע. הצעתי.זה נשמע קצת כמו מתקפה - כי כל השרשור הזה מרגיש כמו קרב אחד גדול
לא יודע בדיוק למה זה מגיע לזה -
@chv ההצעה שלך של UUID מוזכר בפרוש בשאלה
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
אז יש לי כמובן את האפשרויות הקלאסיות: מזהה גלובלי במקום מספר רץ, או מזהה גלובלי במקביל למספר הרץ שגם יאוחסן בכל שורה ולפי זה אוכל לשלוף את השורה הנכונה. ויש אפשרות של ערפול ע"י הצפנה אפילו חלשה של המזהה.
אאל"ט, מזהה גלובלי הכוונה UUID
-
@chv אמר בתרגיל מתמטי של הסתרת מזהה רץ:
זה נשמע קצת כמו מתקפה - כי כל השרשור הזה מרגיש כמו קרב אחד גדול
הדבר היחיד שאני מסכים איתו בכל השרשור הזה.
(לא להתקיף... אני פשוט עדיין לא מבין במעבדים וזכרונות וביצועים וכו וכו', ולכן אני מעדיף שלא להביע דעה בנושאים שאין לי בהם שמץ הבנה, אולי... אולי עוד יהיה לי חופש.. איזה בין הזמנים כזה... כדי ללמוד עוד משהו) -
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
למשל הרעיון של הXOR אני לא יודע לפענח, אבל אני בטוח שהוא קל לפענוח.
פיענוח XOR נעשה על ידי פעולה נוספת של XOR.
לוקחים את המספר המקורי והמספר המוצפן, עושים תרגיל XOR על שניהם והתוצאה היא מספר ה'מפתח'.
-
@קומפיונט ידעתי גם ידעתי... השתמשתי בXOR לפני 16 שנה כבר...
כוונתי הייתה לפענח מתוך הרצף ללא המפתח. מה שכתבתי מקודם
(אולי הייתי צריך לכתוב לפרוץ, סליחה)@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
ג. לגבי XOR אני מייד חשבתי עליו, אבל בבדיקה שערכתי שמתי לב שאם אני מבקר ביקורים עוקבים המספרים גם הם עוקבים במידה רבה. אני די משוכנע שזה מאפשר לפורץ למצוא את המפתח בקלות, אם מישהו יודע שאני טועה אשמח כי זה הכי קל.
הנה XOR למספרים עוקבים על מספר רנדומלי:
159866
159865
159864
159871
159870
159869
159868
159859
159858
159857כיון שקל לראות איך נראה כל אחד מהמספרים האלה בינארית, מסתבר שקל לראות מה השתנה בהם ולהסיק מזה איזה סיביות יש במפתח ומה המספר.
-
@dovid אמר בתרגיל מתמטי של הסתרת מזהה רץ:
יש לך עצה קונקרטית עבורי או עבור מישהו אחר איך למנוע את זה להבא?
או שאתה רק מצהיר הצהרה רבת תועלת.ראשית, אני לא מתכוון לא אליך באופן ספציפי ולא לאדם אחר בדווקא.
אבל אני חושב שחכמינו ז"ל ידעו והצהירו "דברי חכמים בנחת נשמעים".
נכון, לא כתוב שם "נכתבים" אבל אפשר לנסות לקחת את הרעיון גם אל הכתב.כשאני מגיע לכזה שרשור אני נזכר בעצמי, כשאני לא מבין או יודע בדבר מסויים, אבל רק חשבתי שהבנתי את התשובה, או טעיתי בהגדרת השאלה והייתי בטוח שאני כן מבין בזה, הייתי מצפה לתגובה ברוח טובה.
זה באמת מרגיז כשהעונה לא ירד לסוף דעתך או שחשב להחכים אותי במה שכבר ידעתי ולא שאלתי... וגם השואל לפעמים מרגיש שאולי נראה שלא למד מילה או שנים בתחום מסוים וכבר שואל עליה, ובכל זאת הרבה דרכים לתגובה...
(ושלא תחשוב שאני מדבר רק על אחרים, אני זוכר את עצמי לפעמים שגם עונה ככה, אבל כשאני רואה אותי במראה - זו צביטה, מותר וצריך להשתנות)
סליחה על סטיה מהנושא (פשוט ביקשת... )
א גוטען ערב שבת!
-
-
