Kung bakit ang SHA-256 lamang ay hindi angkop para sa pag-iimbak ng password

Ang hashing ay hindi encryption: walang katumbas na operasyon ng decryption. Gayunpaman, pagkatapos ng isang database na tumatagas ang isang sumasalakay ay maaaring magkaroon ng mga hula at ihambing ang mga ito sa ninakaw na rekord nang hindi ipinapasa ang iyong mga limitasyon sa login rate.

SHAAng bilis ng ⁇ ay nagiging disbentaha

Ang SHA-256 ay kapaki-pakinabang sa pagsusuri ng katapatan at maraming mga aplikasyong cryptographic. Ang bilis nito ay hindi kanais - nais para sa pag - iimbak ng password. Pagdaragdag ng asin SHA256(salt + password) ay hindi gumagawa sa mga hula na sapat na magastos. Ang asin at ang halaga ng pagkalkula ay may iba't ibang layunin.

Huwag mag-imbento ng isang credential format o isang loop ng ordinaryong mga hene. Gumamit ng pinapanatiling password-hashing library.

Pumili ng dedikadong password-hashing na gawain

Mas gusto ng OWASP ang Argon2id para sa mga bagong sistema, na may scrypt bilang alternatibo kapag hindi nakuha. Ang PBKDF2 ay nagsisilbi sa espesipikong mga kahilingan sa pagsunod. Ang crypt ay nananatiling may kaugnayan sa mga sistema ng pamana subalit may mga limitasyon, pati na ang input haba.

Gamitin ang mga gawain ng aklatan para sa paglalang at beripikasyon, henerasyon ng asin at imbakan ng parameter. Pumili ng mga halagang parameter mula sa kasalukuyang gabay at sukat sa target na server. Ulat para sa sabay - sabay na mga login at mga limitasyon ng yaman: Ang magastos na hashing ay hindi dapat gawing di - gaanong mahalaga ang pagtanggi sa paglilingkod. Kailangan pa rin ang limitasyon sa paggamit ng Internet.

Unawain ang asin at paminta

Ang asin ay ala-suwerte at natatangi sa bawat plaka; hindi ito kailangang lihim. Itago rin ang algorithm na identifier at verification parameters, kadalasan ay sa loob ng aklatan ng mga identifier record.

Ang paminta ay isang opsyonal na lihim na itinatago sa labas ng password database. Makatutulong ito sa ilang eksena ng sira ngunit nagiging komplikado ang pag - ikot at susing pangangasiwa. Hindi nito hinahalinhan ang asin ni ang angkop na gamit sa pag - aalis ng asin.

Nakatataas na rekord pagkatapos ng matagumpay na beripikasyon

Sa isang matagumpay na login, tiyakin muna ang lumang rekord, pagkatapos ay ulitin ang ipinasok na password kung lipas na ang mga parameter. Hindi mo maibabalik ang orihinal na mga password mula sa umiiral na mga hache upang mandayuhan sa buong database. Ang mga inaktibong salaysay ay nangangailangan ng hiwalay na patakarang pangrehiyon o pandarayuhan. Ang pag - urong ay hindi nagpapawalang - bisa sa dating tagas.

Bago gamitin, subukin ang di - wastong mga password, gawing pamana ang pandarayuhan, limitahan at ikarga ang haba. Huwag mag - log test ng password o ipadala ito sa analytics.