Web 应用程序密码：bcrypt 和 SHA256（和 scrypt）

Question

在最近（例如 LinkedIn）关于密码的所有讨论中，我正在研究密码哈希实现。在喝了两杯咖啡和早上阅读之后，我不再是一个密码学家了，就像我刚开始时一样。而且我真的不想假装我是。

具体问题

1. 使用整数唯一用户 ID 作为有效盐会失败吗？ （crypt() 只使用 16 位？）

2. 如果我只是在哈希上一遍又一遍地运行 sha256() 直到用完一秒钟，这是否会击败暴力攻击？

3. 如果我必须问这些问题，我应该使用 bcrypt 吗？

讨论/解释：

目标很简单，如果我的用户的散列密码被泄露，他们：

1. 不会“容易”破解，
2. 破解一个密码不会暴露其他使用相同密码的用户）。

我读到 #1 的内容是哈希计算必须很昂贵——比如说，需要一两秒来计算，并且可能需要一点或内存（以阻止硬件解密）。

bcrypt 内置了这个功能，如果我理解正确的话，scrypt 更具前瞻性，并且包含最低内存使用要求。

但是，通过“重新散列”sha256() 的结果多次以用完几秒钟，然后将最终循环计数与散列一起存储以供以后检查提供的密码？

对于#2，为每个密码使用唯一的盐很重要。尚不清楚盐必须有多随机（或大）。如果目标是避免使用“mypassword”作为密码的每个人都拥有相同的哈希值，那么仅仅这样做还不够吗？：

hash = sha256_hex( unique_user_id + user_supplied_password );

甚至这个，虽然我不确定它能给我带来什么：

hash = sha256_hex( sha256( unique_user_id ) + user_supplied_password );

除了我知道它是独一无二的之外，我可以从使用用户 ID 中看到的唯一好处是避免将盐与哈希一起保存。没有太大的优势。使用用户 ID 作为盐是否存在真正的问题？它没有完成#2吗？

我假设如果有人可以窃取我用户的散列密码，那么我必须假设他们可以得到他们想要的任何东西——包括生成散列的源代码。那么，在散列之前向密码添加一个额外的随机字符串（相同的字符串）有什么好处？那就是：

# app_wide_string = one-time generated, random 64 7-bit *character* string.
hash = sha256_hex( unique_user_id + app_wide_string + user_supplied_password );

我看到了这个建议，但我不明白我从每个用户的盐中获得了什么。如果有人想暴力破解攻击，他们会知道“app_wide_string”并在运行字典攻击时使用它，对吧？

如上所述，是否有充分的理由使用 bcrypt 而不是我自己的滚动？也许我问这些问题的理由就足够了？

顺便说一句——我刚刚在我的笔记本电脑上计时了一个现有的哈希函数，我每秒可以生成大约 7000 个哈希值。不是通常建议的一两秒。

一些相关链接：

using sha256 as hashing and salting with user's ID

SHA512 vs. Blowfish and Bcrypt

What is the optimal length for user password salt?

Answer 1

Bcrypt 很棒，因为您可以将工作因数从 4 调整到 31，每个增量都会创建一个指数所需的时间，我实际上已经绘制了它，在工作因数为 14 时，它已经占用了一秒钟，所以当计算机得到越来越快，您只需要更改一个参数，当然还要更新您的密码哈希...

我对 bcrypt 的主要担忧是，如果工作系数设置为高，那么它可能会在多个用户尝试登录时使您的系统过载，因此您可以调整它，具体取决于并发登录的数量和资源你的系统...

salts 还是需要的，主要目的是阻止离线攻击，如果salt space 太大，那么对手就无法生成查找表，64 位 salt 似乎有点低， bcrypt 具有 128 位盐，再加上工作因素，这对于离线攻击来说是一个相当大的挑战……是的，每个密码的盐应该是随机的，bcrypt 会为你生成一个，如果你对每个密码使用相同的盐，那么你使攻击者更容易使用在线攻击破解所有密码。

如果你正确设置了工作因子，Bcrypt 真的很适合在线攻击，因为即使我得到了哈希值，意思是说如果“对手”得到了哈希值，工作因子也会让通过整个字典，需要多天，如果密码不在字典中，那么我真的有麻烦了，因为暴力攻击将是史诗般的，bcrypt 的密码位空间虽然有限但相当大:)

Sha256 现在可能需要一些时间，但最终计算机会变得越来越快，并且很容易受到攻击，unix 人认为 crypt 太慢了，这绝不会成为问题，今天我已经在几秒钟内完成了一次在线攻击，在几天内完成了离线攻击，在几周内完成了一次暴力攻击（遍历整个密码位空间）......

1. 您希望盐尽可能大且随机，仅使用数字可以让我更轻松地遍历所有可能的 id。
   
2. 现在多个 sha256 可能需要一秒钟，但以后它不会再有效了，计算机处理能力呈指数增长，因此您需要一种可以这样配置的算法。
   
3. 如果有更多的人这样做，那么您通过提问和做功课来做正确的事，我们就不会有这么多违规行为
   

Answer 2

使用整数唯一用户 ID 作为有效盐会失败吗？ （crypt() 只使用 16 位？）

您通常会使用随机生成的盐，然后将该哈希与加密密码一起存储。攻击者也可以访问盐并不重要——它的目的是防止使用查找表，从而迫使攻击者单独暴力破解每个哈希。

crypt 只是将盐和哈希以及要使用的算法存储到一个字符串中。