Neden Neden Neden Neden Neden Neden? SHA-256 Yalnız şifre depolama için uygun değildir
File checksums and server-side password depolama farklı problemleri çözmektedir. Şifre depolama ayrıca her çevrimdışı tahmin pahalıya mal olmalıdır.
Bu kılavuzda
Hashing şifreleme değildir: Bir veritabanı sızıntıdan sonra bir saldırgan tahmine sahip olabilir ve uygulamanızın giriş oranı limitlerini geçmeden çalınan kayıtları karşılaştırır.
SHA'nın hızı bir dezavantaj haline gelir
SHA-256 Bütünleme kontrolleri ve birçok kriptografik uygulama için faydalıdır. hız şifre depolaması için istenmeyen değildir.Bir tuz ekin SHA256(salt + password) Tahminleri yeterince pahalı yapmaz. Salt ve hesaplama maliyeti farklı amaçlara hizmet eder.
Bir credential format ya da sıradan bir parça icat etmeyin. korunmuş bir şifre-hashing kütüphanesi kullanın.
Özel bir şifre-hashing işlevi seçin
OWASP tercih ediyor Argon2id Yeni sistemler için, mevcut olduğunda alternatif olarak şifrelenir. PBKDF2 Özel uyumluluk gereksinimlerine hizmet eder. Bcrypt, miras sistemleri için ilgili kalır ancak giriş uzunluğu da dahil olmak üzere sınırlamalara sahiptir.
Formasyon ve doğrulama için kütüphane işlevlerini kullanın, tuz nesli ve parametre depolama. Hedef sunucudaki mevcut rehberlik ve ölçümlerden maliyet parametreleri seçin.Şu anda girişler ve kaynak limitleri için hesap: maliyetli hashing, servis askıya alınmamalıdır. Online oran sınırlaması gerekli kalır.
tuz ve biber
Bir tuz her kayıt için rastgele ve benzersizdir; bu gizli olmamalıdır. Algoritma tanımlayıcısı ve doğrulama parametreleri de, genellikle kütüphanenin encoded kaydı içinde.
Bir biber, şifre veritabanının dışında tutulan opsiyonel bir sırdır. Bazı ihlal senaryolarında yardımcı olabilir ancak rotasyon ve anahtar yönetim değiştirir. Ne tuz ne de uygun bir hashing işlevi yerine getirir.
Başarılı doğrulama sonrası rekorları Yükseltin
Başarılı bir girişte, ilk önce eski rekoru doğrulamak, sonra parametrelerin modası geçmiş olması durumunda gönderilen şifreyi yeniden yapılandırın. Tüm veritabanına göç etmek için mevcut olan orijinal şifreleri geri kazanamazsınız.Inaktif hesaplar ayrı bir sıfırlama veya geçiş politikasına ihtiyaç duyar.Rehashing bir önceki sızıntıya ihtiyaç duymaz.
Dağıtımdan önce, yanlış şifreler test edin, miras göçü, uzun sınırlar ve yük. Asla giriş sınavı parolaları veya bunları analitik olarak göndermeyin.