Qual è l'algoritmo consigliato per creare una chiave da una password?

Alcune delle opzioni più popolari sono PBKDF2, bcrypt e scrypt. Una risposta correlata ha molte buone informazioni. L'essenza è bcrypt è meglio di PBKDF2, ma o andrebbe bene e sicuro. lo scrypt sembra promettente, ma è piuttosto nuovo e, nel mondo della crittografia, spesso viene utilizzato come metodo di prova, a meno che non sia assolutamente necessario. Vedere la risposta a cui mi sono collegato per gli attacchi rispetto ai quali lo scrypt è migliore di bcrypt.

Ti consiglio di usare PBKDF2. È progettato esattamente per questo scopo: derivare una chiave crittografica da una password. È possibile sintonizzare PBKDF2, per fare in modo che la chiave crittografica richieda esattamente il tempo che si desidera (maggiore = più sicuro, ma troppo lungo = non conveniente). È possibile memorizzare il sale in chiaro insieme al testo cifrato.

Non penso di raccomandare l'uso di bcrypt o scrypt. Sono progettati per password di hashing. Mentre bcrypt o scrypt certamente potrebbe costituire la base per una soluzione ragionevole, non sono direttamente adatti e potrebbe essere necessario apportare alcune modifiche ( attentamente ), quindi sarà probabilmente sarà più semplice usare tranquillamente PBKDF2.

Non mi preoccuperei di xor-ing bcrypt e PBKDF2. PBKDF2 va bene da solo; non c'è bisogno di farlo xor altro.

Su una nota a parte, voglio avvisarti dei problemi di sicurezza con l'utilizzo di passphrase brevi per derivare chiavi crittografiche.

Si menziona un'ipotetica "password di 6 lettere, non dizionario". Bene, ecco una nota di cautela a riguardo. La maggior parte delle password di 6 lettere non ha nulla vicino alla forza di una raccolta casuale di 6 lettere; la maggior parte delle password di 6 lettere ha una buona struttura. E semplicemente dire agli utenti "non usare una parola del dizionario" non è sufficiente per cambiarlo.

Voglio anche avvertirti della possibilità di parallelizzazione. Si dice che una "password di 6 lettere, non dizionario" dovrebbe "contenere per 1 anno" se la generazione della chiave richiede almeno 100 millisecondi. Bene, penso che quello che intendi è che se non c'è una struttura nella password, allora la rottura della chiave crittografica richiederà almeno 1 anno CPU. C'è una grande differenza tra 1 anno di CPU e 1 anno. Qualcuno che ottiene 100 macchine potrebbe crackare la password in pochi giorni. Questo è un livello di sicurezza piuttosto basso, nel mondo odierno delle botnet, dell'EC2 e del cloud computing. E questo presuppone già che i tuoi utenti sceglieranno password in 6 lettere perfettamente casuali - un presupposto che sappiamo essere totalmente false.

Per questi motivi, le password scelte dall'utente non sono generalmente una buona base per una chiave crittografica. È probabile che una parte sostanziale delle password scelte dall'utente sia irrinunciabile tramite attacchi a forza bruta, anche se si utilizza PBKDF2. Pertanto, potresti considerare seriamente che altro puoi fare, oltre a PBKDF2, per proteggere i tuoi utenti.

Una possibilità potrebbe essere quella di generare una passphrase suggerita a caso per l'utente (ad esempio, cinque parole scelte a caso da un dizionario di 4096 parole, o dieci caratteri scelti a caso da a-zA-Z0-9), e renderlo facile per l'utente utilizzare il tuo suggerimento. Un altro metodo potrebbe essere quello di testare la qualità della passphrase dell'utente e, se sembra scadente, avvisare l'utente che la sua passphrase è probabilmente insicura e magari fornire un'alternativa raccomandata (ad esempio, utilizzare la seguente passphrase suggerita). Un altro metodo è utilizzare la crittografia a chiave pubblica, ma automatizzare il processo in modo che l'utente non debba essere a conoscenza di ciò che sta accadendo. Ci sono probabilmente molte altre possibilità creative che potresti prendere in considerazione, a seconda dei dettagli del tuo specifico dominio applicativo.