नमक को नमकीन और भंडारण का सबसे अच्छा तरीका क्या है?

Question

हाय दोस्तों मैंने पासवर्ड नमक के बारे में पढ़ा है, लेकिन यह थोड़ा अजीब लग सकता है। लेकिन मैं नमक को कैसे स्टोर और सुरक्षित कर सकता हूं। उदाहरण के लिए एक मल्टी टायर आर्किटेक्चर में कहते हैं कि मैं अपने नमक उत्पन्न करने के लिए क्लाइंट मशीन के GUID का उपयोग करता हूं, तो उपयोगकर्ता एक मशीन तक ही सीमित हो जाता है लेकिन अगर मैं यादृच्छिक नमक का उपयोग करता हूं तो इसे कहीं भी संग्रहीत किया जाना चाहिए। कुछ दिन पहले मैंने एक नमूना आवेदन देखा जहां क्लाइंट सिस्टम पर हैश और नमक उत्पन्न हुआ था जब भी कोई नया उपयोगकर्ता बनाया गया था और फिर नमकीन पासवर्ड और हैश सर्वर पर प्रेषित किया जाता है जहां वे SQL सर्वर में संग्रहीत होते हैं। लेकिन अगर मैं इस विधि का पालन करता हूं और डेटाबेस को पासवर्ड से समझौता किया जाता है और प्रत्येक पासवर्ड के लिए नमक मान X व्यक्ति के लिए उपलब्ध होंगे। तो, क्या मुझे फिर से पासवर्ड को नमक/एन्क्रिप्ट करना चाहिए और सर्वर की तरफ नमक प्राप्त करना चाहिए? नमस्कार का सबसे अच्छा अभ्यास क्या है?

Answer 1

हैश किए गए पासवर्ड के बगल में डेटाबेस में अनएन्क्रिप्टेड नमक को संग्रहीत करना कोई समस्या नहीं है।

नमक का उद्देश्य गुप्त नहीं होना चाहिए। इसका उद्देश्य प्रत्येक हैश (यानी यादृच्छिक) के लिए अलग होना है, और rainbow tables के उपयोग को हराने के लिए पर्याप्त है जब किसी हमलावर को डेटाबेस पर हाथ मिल जाता है।

थॉमस Ptacek द्वारा इस विषय पर excellent post देखें।

संपादित करें @ZJR: यहां तक ​​कि अगर लवण पूरी तरह से सार्वजनिक थे, तब भी वे इंद्रधनुष तालिकाओं के लाभ को पराजित करेंगे। यदि आप एक नमक है और डेटा टुकड़ों में बांटा है, सबसे अच्छा तुम कर सकते हो उल्टा करने के लिए यह जानवर बल (बशर्ते कि हैश फंक्शन क्रिप्टोग्राफी द्वारा सुरक्षित है)

संपादित @ n10i है: secure hash function के लिए विकिपीडिया लेख देखें। नमक के आकार के लिए, लोकप्रिय bcrypt .gensalt() कार्यान्वयन 128 बिट का उपयोग करता है।

Answer 2

कृपया लवण के इस बहुत अच्छा वर्णन और हैशिंग

Salt Generation and open source software