Tại sao chúng ta nên thay đổi giá trị Salt Security trong CakePHP?

Question

Trong khi cài đặt CakePHP tôi đã đề cập dưới đây lỗi:

Vui lòng thay đổi giá trị của 'Security.salt' trong app/config/core.php đến một giá trị muối cụ thể để ứng dụng của bạn

Tôi biết các giải pháp và nó làm việc hoàn toàn tốt cho tôi.

Nhưng chỉ để thỏa mãn sự háo hức của tôi, tôi muốn biết rằng Tại sao chúng ta nên thay đổi giá trị Salt Security trong CakePHP? và Điều gì sẽ xảy ra nếu chúng ta không thay đổi giá trị?

Answer 1

Ý tưởng về "muối" mật mã là cùng một mật khẩu (hoặc giá trị bí mật khác) được mã hóa ở hai nơi không kết thúc bằng cùng một giá trị được mã hóa. Điều này làm cho việc tạo ra một từ điển "" chứa khó khăn hơn cho nhiều mật khẩu có khả năng, và nhanh chóng kiểm tra nó với một danh sách các mật khẩu bị đánh cắp để khôi phục mật khẩu.

Nói đúng, một muối phải được tạo cho mỗi giá trị và được lưu trữ với giá trị đó - vì vậy, tấn công từ điển hoặc "bạo lực" có thể thành công trong việc khôi phục mật khẩu đó, nhưng sẽ không có lợi cho các mật khẩu khác trong hệ thống.

Tuy nhiên, một ứng dụng rộng muối cũng có thể cung cấp một số lợi ích, bằng cách làm cho băm được tạo ra bởi một ứng dụng không phù hợp với những người khác. Cũng có thể ai đó có thể lấy cắp dữ liệu được mã hóa (ví dụ: bảng cơ sở dữ liệu của người dùng) mà không có quyền truy cập vào loại muối cấp ứng dụng này, khiến cho cuộc tấn công bạo lực mạnh hơn.

Những lợi ích này sẽ bị mất hoàn toàn nếu mọi người đã cài đặt CakePHP sử dụng cùng một loại muối, bởi vì bất kỳ ai cũng có thể tải xuống mã nguồn và tìm muối mặc định.