取消使用pbkdf2散列的密码

Question

我正在使用pbkdf2算法来散列密码。为每个密码生成一个随机salt，并设置迭代次数，以使计算持续约1秒。

我也在sambe缓冲区中保存盐和哈希：

   -----------------------
   | SaltLen |     4     |
   -----------------------
   | Salt    | saltBytes |
   -----------------------
   | HashLen |     4     |
   -----------------------
   | Salt    | hashBytes |
   - ---------------------

我的问题是，这个散列密码没有链接到一个用户（一个用户可以有多个密码），我需要有可能取消密码只使用密码本身。我看到的唯一方法是将密码散列到数据库中的每一个salt中取消，直到找到相同的散列，这将花费永远的时间（每一个salt 1秒）。

还有更好的方法吗？

Answer 1

将许可证视为密码是没有意义的。

PBKDF2

您不必散列它们，因为只有数据库中的许可证才被认为是有效的。它没有任何意义，黑客您的服务器和窃取他们。

要检查正确的许可证条目，您只需将许可证的数据库条目ID预先添加到许可证本身，并且您确切地知道要检查的条目。