मैं किस पासवर्ड हैशिंग विधि का उपयोग करना चाहिए?

Question

इस प्रश्न ने मुझे फिर से पासवर्ड हैशिंग के बारे में सोचना शुरू कर दिया। मैं वर्तमान में bcrypt (विशेष रूप से py-bcrypt) का उपयोग करता हूं। मैंने पीबीकेडीएफ 2 के बारे में बहुत कुछ सुना है, और स्क्रिप किया है।

मुझे क्या आश्चर्य है कि अगर कोई "अधिक आधुनिक" पासवर्ड हैशिंग विधियां हैं जिन्हें मैं शायद नहीं जानता (क्योंकि वे नए हैं, इसलिए लोग उनके बारे में ज्यादा बात नहीं करते हैं), या शायद अन्य विधियां मुझे नहीं पता

और फिर वहां से चल रहा है, मुझे किस का उपयोग करना चाहिए? ज्यादातर लोग bcrypt की अनुशंसा करते हैं, लेकिन मुझे आश्चर्य है कि यह सिर्फ इसलिए है क्योंकि यह पुराना है (पढ़ें: जाने-माने)। स्क्रिप बेहतर लगता है (स्मृति उपयोग की परिवर्तनीय मात्रा)। मुझे पीबीकेडीएफ 2 के बारे में बहुत कुछ पता नहीं है।

तो यदि मैं उपयोगकर्ता-प्रबंधन योजना बनाता हूं, तो इनमें से किस का उपयोग करना चाहिए? या मुझे कुछ पूरी तरह से अलग करना चाहिए?

Answer 1

पीबीकेडीएफ 2 WPA/WPA2 और डोमेन कैश किए गए प्रमाण पत्र 2 (AKA DCC2) में उपयोग किया जाता है। सुरक्षा बढ़ाने के लिए आप एचएमएसी-एसएचए 1 के लिए पुनरावृत्तियों को बदल सकते हैं। क्रैकिंग प्रक्रिया को धीमा करने की यह विधि अखंड है। हालांकि, चूंकि यह SHA1 पर आधारित है, इसलिए आप इसे हमला करने के लिए जीपीयू-अनुकूल कह सकते हैं।

दोनों, bcrypt और scrypt, एक लुकअप तालिका का उपयोग करें। यह स्मृति निर्भरता इसे जीपीयू-असभ्य बनाता है। नवीनतम 28   एनएम जीपीयू आर्किटेक्चर हालांकि स्मृति में बहुत तेजी से पहुंच को पुनः सक्षम करते हैं।

अब के लिए आपको bcrypt या scrypt का पक्ष लेना चाहिए। मेमोरी आश्रित हैंश का उपयोग करना एक अच्छा विकल्प है, लेकिन भविष्य में यह बदल सकता है। क्रैकर्स के जीपीयू प्रदर्शन में वृद्धि के बारे में नजर रखें। यह संभव है कि वे एक घटना क्षितिज तक पहुंच जाएंगे जिस पर GPU- अनुकूल हैश करने के लिए स्विच करना बेहतर होगा लेकिन उनकी पुनरावृत्ति गणना में वृद्धि होगी।