नमक के पासवर्ड

यह नोट एक पासवर्ड हैशिंग के दौरान नमक के उपयोग पर प्रकाश डालने का इरादा रखता है। यदि आप इस विषय पर टिप्पणियों में देखते हैं habrahabr.ru/post/145642 , तो संदेह है कि कुछ लोग नमक के उद्देश्य को गलत समझते हैं। मैं उदाहरणों से दिखाने की कोशिश करूंगा कि इस तंत्र का उपयोग किस लिए किया जाता है। मैं हर किसी से बिल्ली के नीचे दिलचस्पी लेने के लिए कहता हूं।

एक साधारण प्राधिकरण की कल्पना करें। एक उपयोगकर्ता को उपयोगकर्ता नाम / पासवर्ड मानों का एक गुच्छा मिलता है, हमें एक पासवर्ड हैश मिलता है और डेटाबेस में संग्रहीत डेटा के साथ इस गुच्छा की तुलना करते हैं। सरलता के लिए, हम MD5 और PHP कोड उदाहरणों का उपयोग करेंगे।

$password = md5($password); 

इस स्थिति में, यदि उपयोगकर्ता के पास क्वर्टी पासवर्ड है, तो हमें निम्नलिखित हैश मिलेगा: d8578edf8458ce06fbc5bb76a58c5ca4 । यदि कोई हमलावर हमारे डेटाबेस तक पहुंच प्राप्त करता है, तो वह तैयार सेवाओं ( http://wordd.org/D8578EDF8458CE06FBC5BBAAACCCA4 ) का लाभ उठा सकता है, जिसमें उसके पास पहले से ही मान है कि यह हैश है, या इसे स्वयं हटा दें।
मूल्यों के साथ पहले से तैयार हैश टेबल से बचाने के लिए, आप एक स्थिर नमक का उपयोग कर सकते हैं:

  $password = md5($password . "MyUniqueSault"); 

अब एक ही qwerty पासवर्ड के साथ, हम एक पूरी तरह से अलग हैश bdadb0330124cda0e8499c9cd118f7bd प्राप्त करते हैं । तैयार-किए गए टेबल अब हमलावर की मदद नहीं करेंगे, उसे क्रूर बल का उपयोग करना होगा। यह वह जगह है जहाँ स्थैतिक नमक का ऋण निहित होता है: एक हमलावर स्थैतिक नमक के साथ अपनी हैश तालिका उत्पन्न करने और डेटाबेस से अधिकांश पासवर्ड के मान प्राप्त करने में सक्षम होगा। इस माइनस को खत्म करने के लिए, प्रत्येक हैश के लिए एक अद्वितीय नमक का उपयोग किया जाता है:

  $sault = GenerateRandomString(); $password = md5($password . $sault); 

यानी अब, लॉगिन / पासवर्ड हैश के अलावा, डेटाबेस को प्रत्येक उपयोगकर्ता के लिए उत्पन्न नमक के मूल्य को संग्रहीत करने की आवश्यकता होगी। आइए एक उदाहरण का विश्लेषण करें: हमारे पास दो उपयोगकर्ता हैं: user1 और user2। दोनों qwerty पासवर्ड का उपयोग करते हैं। लेकिन पहले में, zxcv नमक उत्पन्न हुआ, और दूसरे asdf में । नतीजतन, एक ही पासवर्ड हैश के साथ उपयोगकर्ताओं को अलग होगा: 1d8f3272b013387bbebcbedb4758586d और a192862aa3bf46dffb57b12bdcc4c199 इस पैदावार .क्या अब असंभव sgenenerirovat एक तालिका हैश एक गतिशील नमक पुनर्जीवित किया जाना है के साथ हैश के मूल्य को खोजने के लिए किया जाएगा। यह सब डेटाबेस के "नाली" की स्थिति में मूल्यों के चयन के समय को बढ़ाने के उद्देश्य से है, जब "अच्छे" हैशिंग एल्गोरिदम का उपयोग करते हुए, कम से कम कुछ पासवर्डों का चयन करने में काफी समय लग सकता है। यह समझना महत्वपूर्ण है कि उत्पन्न नमक एक एकल उपयोगकर्ता की सुरक्षा नहीं करता है, लेकिन सभी एक साथ बड़े पैमाने पर क्रूरता से बचाता है। यह सब, मैं आपको याद दिलाना चाहता हूं कि क्रिप्टोग्राफिक हैश एल्गोरिदम SHA1, SHA512 का उपयोग करें। ऊपर उपयोग किए गए एमडी 5 का उपयोग करने के लिए अनुशंसित नहीं है, जैसा कि अप्रचलित मान्यता है।

---

कोलोनिस्ट ने अपनी टिप्पणी habrahabr.ru/post/145648/#comment_4894759 (जिसके लिए मैं उन्हें एक विशेष धन्यवाद और प्लस देना चाहूंगा) में अच्छी तरह से संक्षेप में बताया:
एक बार और।

1. कोई नमक नहीं - रेडीमेड इंद्रधनुष तालिकाओं का उपयोग करें।
2. सभी पर एक नमक है - हम एक इंद्रधनुष तालिका और उस पर सभी उपयोगकर्ताओं को "तोड़" उत्पन्न करते हैं।
3. प्रत्येक उपयोगकर्ता के लिए एक अलग नमक है - प्रत्येक उपयोगकर्ता के लिए अलग से जानवर बल।