Java SecureRandom作为salt

Question

这是密码生成盐的正确方式吗？

        SecureRandom random = new SecureRandom();
        byte[] salt = random.generateSeed(64);

        String decoded = new String(salt, "Cp1252");
        System.out.println(decoded);

我正在尝试生成新的密码(SHA-512)，所以我也需要一个salt。
散列密码将是=用户密码+salt...这是正确的吗？
这些奇怪的字符会“破坏”数据库（MySQL）吗？（更新：不，因为salt应该被加密/编码/散列，结果不应该使用奇怪的字符）

ã2}wÑ»-ÄKÇæꮃzR4qÉÖÙÚ!ž0ÉW9;*Vß4x»)
àöˆ˜£¿{,J¼…HþTù#+Bv(Fp´G~Aò`^e_ElpíÜžS  A!­ñÛz‹y@`ý‡)‡ª€
5a£Æ.¥sgöfÈB:4-�y$Óx%Óâyý¾N¨…áq

更新：

        SecureRandom random = new SecureRandom();
        byte[] saltArr = new byte[64];
        random.nextBytes(saltArr);

        String salt = new String(saltArr, "Cp1252");
        System.out.println("SALT:"+salt);


        byte[] encodedBytes = Base64.encodeBase64(saltArr);
        System.out.println("Encoded SALT:" + new String(encodedBytes));

        byte[] decodedBytes = Base64.decodeBase64(encodedBytes);
        System.out.println("Decoded SALT:" + new String(decodedBytes, "Cp1252"));


        //SHA
        String target = "Test";
        MessageDigest sh = MessageDigest.getInstance("SHA-512");
        sh.update(target.getBytes());
        StringBuffer sb = new StringBuffer();
        for (byte b : sh.digest()) sb.append(Integer.toHexString(0xff & b));
        System.out.println("Hashed PWD:"+sb);

        //And then joining them together... 

Answer 1

首先，使用NextBytes（实际调用PRNG）而不是GenerateSeed就足够了。后者使用种子生成算法，这是一个更复杂的操作，因为它需要一个熵源(800-90a p19-23)

salts的主要功能是防御字典攻击（相对于密码散列列表）和预先计算的彩虹表攻击。（维基百科）

换句话说，每个密码都需要一个不同的salt，但这个salt不是秘密的（您将把它与摘要输出一起存储），并且您应该可以使用PRNG的输出。

*SHA不是加密函数。

SecureRandom random = new SecureRandom();
byte[] salt = new byte[64];
random.nextBytes(salt);

String password="god";
MessageDigest md = MessageDigest.getInstance("SHA-512");
md.update(password.getBytes(Charset.forName("UTF-8")));
md.update(salt);

byte[] digest = md.digest();