密码哈希盐是如何工作的

Question

我认为我理解散列和加盐密码，但似乎我有一些误解。我在nodejs为我的网站创建一个用户帐户系统。

我的理解是，当用户创建密码时，我们会生成一个随机盐，将其附加到密码中，然后散列该字符串。我们还可以添加一个工作因子以使散列工作缓慢并防御蛮力攻击。我们将盐与散列一起存储在我们的数据库中，为了验证登录尝试，我们使用存储的盐和尝试的密码重复上述过程（在服务器上），并检查散列是否匹配。

nodejs中的bcrypt模块似乎与我对哈希的解释不一致。这是来自于http://codetheory.in/using-the-node-js-bcrypt-module-to-hash-and-safely-store-passwords/

var salt = bcrypt.genSaltSync(10);
var hash = bcrypt.hashSync("my password", salt);

首先，为什么功因子应用于salt而不是hash？如果有人使用暴力进行攻击，他们会运行哈希函数，对吗？散列不是我们需要的函数吗？

我也对使用bcrypt进行验证感到困惑：

bcrypt.compareSync("my password", hash);

即使两个用户选择相同的密码，我们也需要哈希值是唯一的，这就是盐的要点吗？那么我们为什么不这样做呢？

bcrypt.compareSync("my password"+salt, hash);

Answer 1

匿名用户

< code>salt包含轮数，因此< code>bcrypt.hash(Sync)函数知道它要进行多少轮。所以< code>hash不是一个简单的hash，而是一个内嵌了< code>salt的容器。

Answer 2

SALT是2次数（从4到31） - 函数的迭代工作循环，创建哈希。bcrypt取盐，乘以2本身的盐时间。并取此值来实现解码函数到我们的字符串的总次数。它是 bcrypt 函数中循环的“圆度”。每次当你这样做时：

bcrypt.hashSync("my password", salt)

< code>bcrypt创建新的“随机”字符串，每次使用相同的输入字符串和使用相同的< code>salt我们得到不同的输出字符串，这是工作bcrypt函数的关键思想，总结果我们将保存到我们的库。然后我们使用:

bcrypt.compareSync("my password", hash);

和＜code＞compareSync＜code＞计算是否从字符串“my password”创建了哈希。如果我们进入函数compareSync中，在字符串（“我的密码”）中添加salt，我们将更改开始的字符串，并且决不会以这种方式接受true。因为bcrypt将比较散列，就像这样创建的：

bcrypt.hashSync("my password"+salt, salt);

这就是我们应该使用这种结构的方式:

>

在创建用户数据时创建哈希：var盐=bcrypt.genSaltSync（10）； var哈希=bcrypt.hashSync（"my code"，盐）；

将hash保存到db

登录过程中的下一步身份验证用户，如：

bcrypt。compareSync（“我的密码”，哈希）

没有任何盐或参数。