Shash6 Sha256 + GUID segreto + RNGCrypto numero casuale alle password hash

Se lo Sha256 viene usato con solo 1 ripetizione, allora dovresti raccomandare di passare ad una funzione di hash della password dedicata, in ogni caso, BCrypt, SCrypt, Argon2 e PBKDF2 sono buone scelte.

Il problema con l'utilizzo di SHA- * è la sua solidità, l'hardware comune può forzare su 3 Giga SHA-256 al secondo . Salting and peppering (il GUID) sono buone misure, ma proteggono da diverse minacce.

Hai ragione nell'assumere che un utente malintenzionato abbia bisogno del GUID dal server, ma dipende dall'attacco, se questo GUID rimane segreto. On dovrebbe pianificare il caso, che tutte le informazioni necessarie siano note e quindi la lentezza della funzione hash è l'unica protezione rimasta.

Dal mio punto di vista l'unica preoccupazione che vedo è l'attacco di forza bruta, tuttavia ci sono alcuni fattori da tenere in considerazione.

1. Se crei uno sha256 ("questa è la password1234") questo genererà hash1 che può essere forza bruta e l'hacker otterrà "questa è la password1234", quindi potremo vedere la password esatta .

2. Se usi uno sha256 ("questa è la password1234" + tasto + sale ....), l'attacco dettato mi renderà più difficile trovare la password, se questa è la tua preoccupazione. Quindi sceglierò questo metodo, ma prendo in considerazione che la gestione della password utente è più complessa della prima.