最佳实践：加盐和加胡椒密码？

Question

hash_function($salt.hash_function($pepper.$password)) [multiple iterations]

注意：为了讨论的目的，假设应用程序和数据库存储在单独的机器上，不共享密码等。因此数据库服务器的破坏并不自动意味着应用程序服务器的破坏。

Answer 1

好的，鉴于我需要一遍又一遍地写这个，我将做最后一个关于pepper的规范答案。

似乎很明显，peppers应该使哈希函数更加安全。我的意思是，如果攻击者只得到你的数据库，那么你的用户密码应该是安全的，对吗？似乎合乎逻辑，对吧？

这就是为什么这么多人相信辣椒是个好主意。“有道理”。

这就是为什么像PBKDF2这样的算法使用特殊操作来组合它们（在这种情况下是hmac）。

关键是，虽然这不是一件大事，但它也不是一件小事，只是扔来扔去。密码系统旨在避免“应该工作”的情况，而是专注于“设计工作”的情况。

虽然这看起来纯粹是理论上的，但实际上并非如此。例如，Bcrypt不能接受任意密码。因此，如果hash()返回二进制字符串，传递bcrypt(hash(pw),salt)确实会产生比bcrypt(pw,salt)弱得多的哈希。

因此，在算法被设计出来并由密码学家审查用于秘密值（peppers）之前，当前的算法不应该与它们一起使用。

复杂性是安全的敌人

信不信由你，复杂性是安全的敌人。制作一个看起来复杂的算法可能是安全的，也可能不是。但它不安全的可能性很大。

它要求您滚动自己的密码

由于目前没有算法支持pepper的概念，因此需要您编写算法或发明新的算法来支持pepper。如果你不能马上明白为什么这是一件非常糟糕的事情：

任何人，从最无知的业余爱好者到最好的密码学家，都可以创造出他自己无法破解的算法。

null

在存储前加密输出哈希

在安全领域存在一种算法来处理我们上面所说的一切。是块密码。这很好，因为它是可逆的，所以我们可以旋转键（耶！可维护性！）。这很好，因为它是按设计使用的。这很好，因为它不给用户任何信息。

我们再看看那条线。假设攻击者知道您的算法（这是安全性所必需的，否则就是通过模糊实现安全性）。使用传统的pepper方法，攻击者可以创建一个哨兵密码，由于他知道盐和输出，他可以强行使用pepper。好吧，那是一个很长的机会，但有可能。有了密码，攻击者什么也得不到。由于盐是随机的，哨兵密码甚至不会帮助他/她。所以他们剩下的最好办法就是攻击加密的表单。这意味着他们必须首先攻击加密的哈希来恢复加密密钥，然后攻击哈希。但是有很多关于密码攻击的研究，所以我们想依靠它。