पासवर्ड कैसे व्यवस्थित करें * सही *?

Question

एक article कि मैं other articles जो बारी में evenmorearticles आदि

करने और में अंत मैं पूरी तरह से स्टम्प्ड छोड़ दिया गया था लिंक प्रदान करने के लिए यहाँ अतः दिए गए लिंक में पर ठोकर खाई - तो क्या है सबसे अच्छा तरह से स्टोर करने के लिए डीबी में पासवर्ड? से मैं क्या एक साथ रख सकते हैं आप चाहिए:

• एक लंबे (कम से कम 128 पूरी तरह से यादृच्छिक बिट्स) नमक है, जो पासवर्ड के बगल में प्लेन में संग्रहीत किया जाता का उपयोग करें;
• नमकीन पासवर्ड पर SHA-256 (या यहां तक ​​कि अधिक SHA स्तर) के कई पुनरावृत्तियों का उपयोग करें।

लेकिन ... जितना अधिक मैंने क्रिप्टोग्राफी के बारे में पढ़ा है, उतना ही मैं समझता हूं कि मैं वास्तव में कुछ भी नहीं समझता हूं, और जिन चीजों को मैंने वर्षों से सच माना है, वास्तव में गलत हैं। क्या इस विषय पर कोई विशेषज्ञ हैं?

जोड़ा गया: लगता है कि कुछ लोग बिंदु खो रहे हैं। मैं ऊपर दिया गया अंतिम लिंक दोहराता हूं। यह मेरी चिंताओं को स्पष्ट करना चाहिए।

https://www.nccgroup.trust/us/about-us/newsroom-and-events/blog/2007/july/enough-with-the-rainbow-tables-what-you-need-to-know-about-secure-password-schemes/

Answer 1

लिखा है आप इसे अधिकार मिल गया। केवल दो सुझाव: एक दिन SHA1 भी कमजोर हो जाता है और आप कुछ और उपयोग करना चाहते हैं

1. है, यह वर्ष पासवर्ड unhash और उन्हें नई योजना के साथ मिला देना असंभव है। इस कारण से, मेरा सुझाव है कि प्रत्येक पासवर्ड से "संस्करण" संख्या संलग्न होती है जो आपको बताती है कि आपने किस योजना का उपयोग किया था (नमक की लंबाई, कौन सा हैश, कितनी बार)। यदि एक दिन आपको SHA से कुछ मजबूत करने की आवश्यकता है, तो आप डेटाबेस में पुरानी शैली के पासवर्ड होने के दौरान नए स्टाइल पासवर्ड बना सकते हैं और अभी भी उन्हें अलग बता सकते हैं। उपयोगकर्ताओं को नई योजना में माइग्रेट करना आसान होगा।

2. पासवर्ड अभी भी उपयोगकर्ता से एन्क्रिप्शन के बिना सिस्टम में जाते हैं। यदि यह कोई समस्या है तो SRP पर देखें। एसआरपी इतना नया है कि आपको इसे लागू करने के बारे में थोड़ा सा भयावह होना चाहिए, लेकिन अब तक यह आशाजनक दिखता है।

संपादित करें: बाहर कर देता है bcrypt विचार नंबर 1. संग्रहीत जानकारी है (लागत, नमक, हैश), जहां लागत कितनी बार हैशिंग किया गया है पर यह करने के लिए मुझे हराया। ऐसा लगता है कि bcrypt कुछ सही किया था। उपयोगकर्ता हस्तक्षेप के बिना आपके पास हैश की संख्या को बढ़ाया जा सकता है।

Answer 2

मैं वहाँ लगता है पासवर्ड की आवश्यकता पर कोई अतिरिक्त यात्रा, जस्ट यकीन है कि एक नमक, और एक Complexe एक है बनाने;) मैं personnaly का उपयोग SHA-1 2 नमक कीफ़्रेज़ के साथ संयुक्त।

Answer 3

सच में यह इस बात पर निर्भर करता है कि पासवर्ड क्या हैं। आपको देखभाल के साथ कोई पासवर्ड संग्रहित करना चाहिए, लेकिन कभी-कभी दूसरों की तुलना में बहुत अधिक देखभाल की आवश्यकता होती है। एक सामान्य नियम के रूप में सभी पासवर्ड धोया जाना चाहिए और प्रत्येक पासवर्ड में एक अद्वितीय नमक होना चाहिए।

वास्तव में, लवण को उस जटिल होने की आवश्यकता नहीं है, यहां तक ​​कि छोटे भी सिस्टम में प्रवेश पाने की कोशिश कर रहे क्रैकर्स के लिए असली दुःस्वप्न का कारण बन सकते हैं। वे कई खाते के पासवर्ड हैक करने के लिए इंद्रधनुष तालिकाओं के उपयोग को रोकने के लिए पासवर्ड में जोड़े जाते हैं। मैं एक पासवर्ड में वर्णमाला का एक भी अक्षर नहीं जोड़ूंगा और इसे नमक कहूंगा, लेकिन आपको इसे एक अद्वितीय ग्रिड बनाने की आवश्यकता नहीं है जो डेटाबेस में कहीं और एन्क्रिप्ट किया गया हो।

लवण से संबंधित एक और चीज। पासवर्ड बनाने की कुंजी + हैशिंग करते समय नमक का काम दोनों के संयोजन की जटिलता है। यदि आपके पास 12 वर्ण पासवर्ड है और इसमें 1 वर्ण नमक जोड़ें, तो नमक ज्यादा नहीं करता है, लेकिन पासवर्ड को क्रैक करना अभी भी एक शानदार काम है। विपरीत भी सही है।

Answer 4

नमक की लंबाई वास्तव में कोई फर्क नहीं पड़ता, जब तक कि यह किसी उपयोगकर्ता के लिए अद्वितीय न हो। नमक का कारण यह है कि हैश मैच में दिया गया प्रयास केवल डीबी में आपके उपयोगकर्ता तालिका की एक पंक्ति के लिए उपयोगी होता है।

Answer 5

बस कहा, एक क्रिप्टोग्राफ़िक रूप से सुरक्षित हैश एल्गोरिदम और पासवर्ड के लिए कुछ नमक का उपयोग करें, जो सभी उपयोग मामलों के 99.99% के लिए पर्याप्त होना चाहिए। कमजोर लिंक वह कोड होगा जो पासवर्ड और साथ ही पासवर्ड इनपुट की जांच करता है।

Answer 6

उपयोग:

1. हैश्ड पासवर्ड भंडारण
2. एक 128+ बिट उपयोगकर्ता के स्तर नमक, यादृच्छिक, पुनर्जीवित (अर्थातआप लगातार किसी विशेष उपयोगकर्ता के लिए एक ही नमक नहीं रखते)
3. एक मजबूत, computationally महंगा हैशिंग विधि
4. क्रियाविधि कि कुछ अलग है (हैश एल्गोरिथ्म, कितने हैशिंग जब आप नया पासवर्ड हैश बनाने के नए लवण बनाने पुनरावृत्तियों आप उपयोग करते हैं, क्या लवण आदेश इस तरह दोनों किसी भी 'मानक कार्यान्वयन गाइड' से, में concatenated रहे हैं कुछ) और किसी भी अन्य पासवर्ड भंडारण कार्यान्वयन से आप