Question

我要更新我的密码设置, 即目前使用MD5的密码设置。

现在我想做的是用更强的(可能是sha256),

问题是关于盐的储存。

我是否要把盐储存在数据库里自己的专栏里?

然后是大麻盐+密码在登录时给数据库的盐和密码打电话做一个密码

或者我用用户名、电子邮件和时间戳来制盐,

我在想,如果有人掌握了数据库的盐作为专栏, 他们会知道每个用户的盐, 然后他们可以破解密码。

Answer 1

盐不是一个秘密, 它可以与大麻一起存储纯文本。甚至没有必要在数据库中保留第二个字段。如果您查看 PHP s chrypt () 函数, 您可以看到, 盐将包含在大麻值中。

盐是盐的工作,让已经存在的彩虹桌变得毫无用处,因为彩虹桌必须为一种特定的盐建造。使用不同的盐来对付每一种大麻,可以防止彩虹袭击,因为你必须为每一种大麻制造彩虹桌。这就是为什么没有必要保密盐。

我建议,如果你想改进你的密码散列系统, 你做对了, 散列函数很慢。文章< a href="http://www. martinstoeckli.ch/php/php.html#sl_bcrypt" rel=“ nofollow” >password hashes with bcrypt 解释了生成密码散列的重要点。

Generate a salt per password, not per user.
Use a random (unique) salt, not one derrived from other parameters.
Use a slow hash function.

最后但并非最不重要的是,不要害怕这样做正确,您申请的代码可以像您目前对 MD5 执行的代码一样容易。

Answer 2

忘记 MD5 或 SHA。使用 bcrypt. (浅鱼加密) 原生PHP 5. 3 及以上( 加密方法 2a) 。它比较安全, 处理速度较慢。

使用浸渍时,盐与大麻一起储存在同一块鱼粪中。没有理由使用分离剂。

http://php.net/manual/en/conform.crypt.php" rel="nofollow">http://php.net/manual/en/conference.crypt.php

Answer 3

在另一篇文章上读到,有人说盐不是秘密,可以储存数据库栏。所以回答我的问题

友情链接