将bcrypt应用于已经散列的密码是否有密码学上的缺点
设想这样一个场景：客户机应用程序向后端服务器发送密码，以便在与存储的密码变体进行比较时，服务器可以验证用户输入的密码是否正确。
传输机制是https，服务器向用户代理提供HSTS&HPKP，在SSL实验室测试中得分为A+的服务器首选强加密密码。尽管如此，我们还是希望避免将用户提供的原始密码从用户代理发送到服务器。相反，我们可能会在客户端上发送数轮SHA-256之后发送一个散列。
从密码学的角度来看，与直接在纯文本密码上执行bcrypt相比，对已经sha-256散列值执行bcrypt有什么缺点吗？当使用哈希值时，输入文本的固定长度特性是否以某种方式削弱了算法的优势。
编辑：我不是问性能，如内存、CPU、存储需求或计算、存储、发送或比较值所需的挂钟时间。我完全感兴趣的是，在应用bcrypt之前应用哈希是否会削弱bcrypt在公开存储值的完整列表的情况下的强度。
共有1个答案
对于任何对此感兴趣的人，我听从了建议，在security.stackexchange.com上询问了一下
-
我有一个网页，使用bcrypt加密用户名密码，这些密码然后存储在数据库中。我有一个运行在QT上的C++程序，它需要对用户进行身份验证，为了做到这一点，我必须加密用户输入的密码，并将其与数据库中的密码进行比较。这是正确的做法吗？如果是的话，我该如何做到这一点？用户输入的密码的加密必须与bcrypt的加密相同，我如何做到这一点？提前道谢。
-
在对UserDetailsService的自定义实现使用Bcrypt之前，我首先想看看是否可以在内存数据库中使用它。 创建/公开PasswordEncoder bean时，会弹出此警告，最终阻止我访问登录路径： 添加不推荐使用的NoOpPasswordEncoder将暂时解决此问题，但显然不会对密码进行编码： 添加Bcrypt的正确方法是什么？
-
我的应用程序中有一个用例，它应该防止用户在重置密码时选择最后3个密码中的一个。我使用Angular作为前端，spring boot作为后端。在我的场景中，用户密码存储为bcrypt哈希。 如何将用户输入的密码与最近3个存储的bcrypt密码进行比较？ 当我运行下面的代码片段示例时, 它生成以下bcrypt哈希。每个散列都是不同的，这是合理的，因为当我检查时，我可以看到生成的salt是随机值。 sp
-
我试图完全理解密码散列，以便能够向审计员解释它。 基于我对答案的搜索，我知道函数是的包装器。在阅读预定义常量的PHP手册时，我看到它使用作为默认整数值（基本上它使用算法来散列密码）。 让我困惑的是，变量如果省略，会生成一个随机salt，并且成本将设置为。如果我提供了更高的成本（例如：），由于我没有提供salt值，它还会生成随机salt吗？我在这里感到困惑的原因是，我没有忽略，而是提供了不同的成本。
-
鉴于： $salt—一个伪随机生成的字符串，长度足够长 $Pepper-一个足够强的私钥，只有存储口令的数据库管理员知道 你会看到吗 ########################################################################################################### 有意义地优于 $hash=bcrypt（$user
-
本文向大家介绍经典密码学和量子密码学的区别，包括了经典密码学和量子密码学的区别的使用技巧和注意事项，需要的朋友参考一下 众所周知，密码学包括两个过程，分别是在发送方和接收方执行的加密和解密。基本上，密码学是在公共环境中实践或实现的，用于在发送方和接收方之间进行安全的通信，使得除这两方外，其他任何人都无法获得或理解所传递的消息。 根据消息的加密和解密类型，我们可以区分经典加密和量子加密，如下所示：