Làm cách nào để lưu trữ mật khẩu * chính xác *?

Question

Một article mà tôi stumbled khi ở đây trong các liên kết SO cung cấp cho other articles do đó cung cấp các liên kết đến evenmorearticles, vv

Và cuối cùng tôi đã rời hoàn toàn bối rối - như vậy là gì các cách tốt nhất để lưu trữ mật khẩu trong DB? Từ những gì tôi có thể đặt lại với nhau, bạn nên:

• Sử dụng một muối dài (ít nhất 128 bit ngẫu nhiên), được lưu trữ trong bản rõ bên cạnh mật khẩu;
• Sử dụng nhiều lần lặp lại SHA-256 (hoặc mức SHA lớn hơn) trên mật khẩu muối.

Nhưng ... tôi càng đọc về mật mã càng hiểu rằng tôi không thực sự hiểu bất cứ điều gì và những điều tôi nghĩ là đúng trong nhiều năm thực sự là không đúng. Có chuyên gia nào về đề tài này ở đây không?

Đã thêm: Dường như một số người thiếu điểm. Tôi lặp lại liên kết cuối cùng ở trên. Điều đó sẽ làm rõ mối quan tâm của tôi.

https://www.nccgroup.trust/us/about-us/newsroom-and-events/blog/2007/july/enough-with-the-rainbow-tables-what-you-need-to-know-about-secure-password-schemes/

Answer 1

bạn đã nhận nó đúng. Chỉ có hai gợi ý:

1. Nếu một ngày SHA1 trở nên quá yếu và bạn muốn sử dụng cái gì khác, nó là không thể để unhash các mật khẩu cũ và rehash chúng với các chương trình mới. Vì lý do này, tôi đề nghị rằng gắn liền với mỗi mật khẩu một số "phiên bản" cho bạn biết sơ đồ bạn đã sử dụng (độ dài muối, băm, bao nhiêu lần). Nếu một ngày bạn cần chuyển từ SHA sang một thứ gì đó mạnh hơn, bạn có thể tạo mật khẩu kiểu mới trong khi vẫn có mật khẩu kiểu cũ trong cơ sở dữ liệu và vẫn phân biệt chúng. Việc di chuyển người dùng sang sơ đồ mới sẽ dễ dàng hơn.

2. Mật khẩu vẫn chuyển từ người dùng sang hệ thống mà không cần mã hóa. Nhìn vào SRP nếu đó là một vấn đề. SRP quá mới nên bạn nên có một chút hoang tưởng về việc triển khai nó, nhưng cho đến nay có vẻ đầy hứa hẹn.

Chỉnh sửa: Tắt bcrypt đánh bại tôi trên ý tưởng số 1. Thông tin được lưu trữ là (chi phí, muối, băm), trong đó chi phí là bao nhiêu lần băm đã được thực hiện. Có vẻ như bcrypt đã làm điều gì đó đúng. Tăng số lần bạn băm có thể được thực hiện mà không cần sự can thiệp của người dùng.

Answer 2

Tôi nghĩ rằng không có sự lặp lại thêm vào mật khẩu cần, Juste chắc chắn có một muối và một Complexe một;) tôi personnaly sử dụng SHA-1 kết hợp với 2 keyphrases muối.

Answer 3

Sự thật tùy thuộc vào mật khẩu của bạn. Bạn nên lưu trữ bất kỳ mật khẩu nào cẩn thận, nhưng đôi khi cần nhiều sự chăm sóc hơn những người khác. Theo nguyên tắc chung, tất cả mật khẩu sẽ được băm và mỗi mật khẩu phải có một muối duy nhất.

Thực sự, muối không cần phải phức tạp, ngay cả những người nhỏ có thể gây ra một cơn ác mộng thực sự cho bánh quy giòn cố gắng để đạt được nhập cảnh vào hệ thống. Chúng được thêm vào một mật khẩu để ngăn chặn việc sử dụng các bảng Rainbow để hack nhiều mật khẩu của tài khoản. Tôi sẽ không thêm một chữ cái duy nhất của bảng chữ cái vào một mật khẩu và gọi nó là một muối, nhưng bạn không cần phải làm cho nó một guid duy nhất được mã hóa ở một nơi khác trong cơ sở dữ liệu hoặc.

Một thứ khác liên quan đến muối. Chìa khóa để tạo mật khẩu + công việc muối khi băm là sự phức tạp của sự kết hợp của cả hai. Nếu bạn có một mật khẩu 12 ký tự và thêm một muối 1 ký tự vào nó, muối không làm nhiều, nhưng nứt mật khẩu vẫn là một kỳ công hoành tráng. Điều ngược lại cũng đúng.

Answer 4

Độ dài của muối không thực sự quan trọng, miễn là nó là duy nhất cho người dùng. Lý do cho một muối là để một nỗ lực tạo ra tại một trận đấu băm chỉ hữu ích cho một hàng duy nhất của bảng người dùng của bạn trong DB.

Answer 5

Nói một cách đơn giản, sử dụng thuật toán băm mật mã an toàn và một số muối cho mật khẩu, điều đó đủ tốt cho 99,99% tất cả các trường hợp sử dụng. Liên kết yếu sẽ là mã kiểm tra mật khẩu cũng như nhập mật khẩu.

Answer 6

Sử dụng:

1. lưu trữ mật khẩu băm
2. Một 128+ chút dùng cấp muối, ngẫu nhiên, tái sinh (ví dụ:bạn tạo ra các muối mới khi bạn tạo các băm mật khẩu mới, bạn không liên tục giữ cùng một muối cho một người dùng nhất định)
3. Phương pháp băm mạnh, tính toán tốn kém
4. Phương pháp khác biệt một chút lặp bạn sử dụng, những gì đặt các muối được nối vào, một cái gì đó) từ cả hai bất kỳ 'hướng dẫn thực hiện tiêu chuẩn' như thế này và từ bất kỳ thực hiện lưu trữ mật khẩu khác mà bạn đã viết