È pericoloso hash una password con più di un salt?

Question

È pericoloso hash una password con più di un salt?

#1 da (2 voti)
#2 da (0 voti)

2

Sto facendo la mia domanda qui poiché non ero in grado di trovare una risposta da nessuna parte. Ho scritto un software che memorizza password piuttosto delicate. Ho usato BCrypt come algoritmo di hashing con un'adeguata impostazione di forza. Il punto è che ora ho implementato un metodo che, ogni volta che l'utente cambia qualcosa, sceglie un nuovo salt casuale e blocca le password usando il nuovo salt. Ora, nella peggiore delle ipotesi, qualcuno potrebbe avere centinaia di hash delle password con il sale usato. La mia domanda è se queste informazioni potrebbero aiutare un aggressore e se sì, in che misura.

Grazie a tutti coloro che si prendono il tempo per leggere / rispondere in modo positivo alla mia domanda. Saluti, Tephelon

hash salt bcrypt

posta Tephelon 07.07.2014 - 21:12

fonte

2 risposte

0

No, non avrebbe aiutato l'aggressore. I sali, infatti, sono progettati specificamente per rendere impossibile per un utente malintenzionato di sapere che due password sono uguali, oltre a rendere computazionalmente impossibile per un utente malintenzionato precedere gli hash delle password (vedere tabelle di curve ).

Sembra che il tuo algoritmo di hashing sia all'altezza dello stato dell'arte utilizzando bcrypt con hash casuali.

risposta data 07.07.2014 - 21:32

fonte

Leggi altre domande sui tag hash salt bcrypt

Quanto è sicuro Linux in modalità utente, in termini di protezione del sistema host? È possibile distinguere tra un hash SHA256 e una chiave ecc256?

score 2 · Accepted Answer

Supponendo che un utente malintenzionato abbia 100 copie della stessa password con hash con 100 diversi sali, allora no, questo non fornisce alcun vantaggio per i risultati della password in chiaro. Il vantaggio di utilizzare diversi sali significa che i tentativi di cracking mirati a uno qualsiasi degli hash devono essere eseguiti indipendentemente dal lavoro di calcolo utilizzato per gli altri.

In teoria un utente malintenzionato potrebbe creare una tabella arcobaleno con hash bcrypt utilizzando un sale specifico. Aumentando il numero di hash salati aumenti la probabilità che uno dei tuoi hash salati corrisponda al sale con cui hanno costruito il loro tavolo arcobaleno. Tuttavia, se il tuo sale viene scelto da una serie ragionevole di possibilità, allora ha una possibilità infinitamente piccola di pagare per l'attaccante.