Tại sao SHA-256 cô đơn không thích hợp cho việc cất giữ mật khẩu

Không mã hoá: không có thao tác giải mã tương ứng. Tuy nhiên, sau khi một cơ sở dữ liệu bị rò rỉ, người tấn công có thể đoán trước và so sánh chúng với những hồ sơ ăn cắp mà không vượt quá giới hạn đăng nhập của bạn.

SHATốc độ của nó trở nên bất lợi

SHA-256 là hữu ích cho việc kiểm tra chính trực và nhiều ứng dụng giải mã. Tốc độ của nó không tốt cho việc lưu trữ mật khẩu. Thêm muối vào SHA256(salt + password) không đủ đắt để đoán. Muối và chi phí tính toán phục vụ những mục đích khác nhau.

Đừng phát minh ra một dạng thức biểu tượng hay một vòng lặp bất thường. Dùng thư viện phát âm mật khẩu được bảo trì.

Chọn một hàm làm trơn mật khẩu tận tụy

OWASP Thích Argon2id cho hệ thống mới, với scrypt như một sự thay thế khi không có. PBKDF2 phục vụ những yêu cầu rõ ràng. Mật mã vẫn thích hợp với hệ thống di sản nhưng có giới hạn, bao gồm cả độ dài đầu vào.

Dùng chức năng thư viện để tạo ra và thẩm tra, thế hệ muối và lưu trữ tham số. Chọn tham số phí từ hướng và đo lường hiện thời trên máy phục vụ đích. Tài khoản cho việc đăng nhập đồng thời và giới hạn tài nguyên: lỗi chính tả không được phép từ chối dịch vụ một cách nhỏ nhặt. Tốc độ giới hạn trên mạng là cần thiết.

Hiểu muối và tiêu

Muối là loại muối ngẫu nhiên và độc nhất vô nhị trong mỗi đĩa; không cần phải giữ bí mật. Cũng lưu trữ các thuật toán nhận diện và các tham số xác thực, thường trong hồ sơ được mã hóa của thư viện.

Một tiêu là một bí mật tùy chọn được giữ bên ngoài cơ sở dữ liệu mật khẩu. Nó có thể giúp đỡ trong một số trường hợp vi phạm nhưng phức tạp hóa quay và quản lý then chốt. Nó không thay thế muối cũng không thay đổi chức năng khoai tây.

Nâng cấp hồ sơ sau khi thẩm tra thành công

Khi đăng nhập thành công, hãy kiểm tra lại hồ sơ cũ trước, rồi sửa mật khẩu đã gửi nếu các tham số đã lỗi thời. Bạn không thể lấy lại các mật khẩu gốc từ kho mật khẩu để di chuyển toàn bộ cơ sở dữ liệu. Tài khoản bị động cần một chính sách khởi động lại hoặc di cư riêng biệt. Sự phục hồi không làm đảo ngược một lần rò rỉ trước đó.

Trước khi triển khai, kiểm tra mật khẩu sai, di sản di truyền, giới hạn và tải. Không bao giờ kiểm tra mật khẩu hoặc gửi chúng đến các phân tích.