database - 密码、盐、哈希、DB : For the millionth time

Question

我知道这个话题已经被讨论了一百万次。但这对我来说是新的，我读得越多，就越不了解实际发生或应该发生的事情。

我在用户密码的散列存储中添加了每个用户盐，因此存储的密码散列如下所示:hash(password + perusersalt)。这导致不同用户的相同密码在数据库中存储为不同的字符串。凉爽的。但我并不担心有人闯入数据库并查找散列密码。我担心有人会暴力查询我的服务器以获取用户名和密码的组合。在这种情况下，密码的加盐和散列存储是无用的，因为用户名和密码的正确组合将产生成功登录。对吧？

我的印象是正确的吗，在这种情况下，盐是毫无用处的？因为服务器只在界面上接受用户名和密码(不传输盐)，所以正常的字典攻击就可以了，对吧？

因此，salt 仅用于混淆有权访问 DB 的人的用户密码(只能通过反向 Rainbow Table 查找获得)。嗯。

相关:我的网络应用程序甚至不传输明文密码。密码已经在客户端进行了哈希处理，只是为了完全拒绝对某人的密码被盗承担责任，并且整个过程都使用 SSL。

这是否意味着我或多或少处于可能的最高安全级别，因为用户名和密码的正确组合当然必须产生成功登录？

谢谢你清理了我脑子里的乱七八糟的东西。

Answer 1

您对暴力攻击的假设是正确的。如果用户有一个简单的密码，salt 和 hash 就无关紧要了。字典攻击将猜测“密码”并允许攻击者进入。您必须要求用户提供安全密码，然后进行单向加密(用盐对其进行哈希处理)，并像您一样使用 SSL。