[TMBRK]

Siemano mirasy. Jaki rodzaj hashu zastosować do przechowywania haseł w bazie? SHA512? Robię serwis do portfolio juniora, więc nie mam doświadczenia komercyjnego w tych sprawach.

#naukaprogramowania #programowanie #java #php

[januzi]

@TMBRK: Hash mało ważny jeśli nie dodasz losowego ciągu do haseł. Patrz: tęczowe tablice.

[zakopiak]

@TMBRK: blowfish

https://www.php.net/manual/en/function.password-hash.php

[TMBRK]

@januzi: mówisz o soli, tak? Tylko później gdzie taką sól przechowywać, bo chyba nie w bazie razem z hasłami

[sokytsinolop]

@TMBRK: https://openwall.info/wiki/john/essays/fast-and-slow-hashes

[zakopiak]

@TMBRK Sól może być trzymana razem z hasem w bazie. Chodzi o to, że skoro sól jest unikalna/losowa, to nawet pomimo jawności soli (w przypadku wycieku bazy), aby zgadnąć brute forcem, to trzeba wygenerować cały słownik od początku dla każdego hasha.

[zajety_login]

@TMBRK: SHA jest funkcją #!$%@?ącą ogólnego przeznaczenia. Do haseł lepiej jest wykorzystać dedykowaną ku temu funkcję #!$%@?ącą, np. BCrypt (który będzie dodawał sól do hasła i pozwoli trzymać to w jednej kolumnie w bazie danych). Tutaj więcej info.

[zajety_login]

@zakopiak: Blowfish sam w sobie jest algorytmem szyfrującym, wobec czego nie nadaje się do przechowywania haseł. Zamiast niego potrzebna jest funkcja #!$%@?ąca, np. BCrypt (który swoją drogą jest oparty o Blowfisha, ale w sposób transparentny dla użytkownika).

[Saly]

@TMBRK: zadaniem soli jest ochrona przed atakiem rainbow tables. W przypadku wycieku twoich hashy brak soli oznacza, że proste i popularne hasła są banalnie proste do zrekonstruowania. Sól sprawia, że mapowanie hash->hasło musiałby powstać dla wszystkich możliwych soli, co oznacza, że taki atak jest niemożliwy

[sezzart]

@Saly: ale sól nie musi byc sekretem prawda?

[DarkGL]

@TMBRK: BCrypt

[Saly]

@sezzart: przykładowo w bcrypt sól jest doklejana do hasha https://en.wikipedia.org/wiki/Bcrypt

[Hipodups]

@Saly: i jeszcze atakujacy musi wiedziec gdzie ta sol i ile razy w hasle jest wstawiona. nie jest powiedziane ze sol dodajemy na poczatku lub koncu.

[lolen]

@TMBRK: argon

[lolen]

@TMBRK: a jeśli będziesz używać bcrypt to uważaj na długość haseł ( ͡° ͜ʖ ͡°)

[maryce]

@TMBRK: +1 do argon

[Jurigag]

@TMBRK: bcrypt albo argon