java - 对于 PBKDF2，使用 HMAC-SHA256 比使用 HMAC-SHA-1 更安全？

Question

我正在寻找用于密码加密的正确 Java 算法，我发现 Java SDK 提供了 PBKDF2WithHmacSHA1，但没有提供 PBKDF2WithHmacSHA256。

我听说 HMAC-SHA256 比 HMAC-SHA-1 花费更多时间。

由于系统资源有限，只要服务需求可以承受，我将应用不同的迭代值来使它们最安全。

即使进程的预期时间相同，使用 HMAC-SHA256 也比使用 HMAC-SHA-1 更安全？

如果是这样，您能否描述一下使用 HMAC-SHA256 比使用 HMAC-SHA-1 安全多少？

Answer 1

优点 #1:SHA-256 是比 SHA-1 更长的散列(256 位对 160 位)，因此使用纯暴力查找冲突的机会要低得多。即使调整了迭代计数以便计算单个 PBKDF2 哈希的时间相同，与 PBKDF2-SHA-1 相比，与 PBKDF2-SHA-256 相比，您必须哈希 2^96 倍的随机输入才能获得匹配

缺点 #1: 没有人使用纯粹的暴力攻击密码哈希，他们使用字典攻击、混合字典攻击和有限字符集攻击。所有这些都使用足够小的有限输入空间，以至于 PBKDF2-SHA-1 和 PBKDF2-SHA-256 都不可能发生任何自然碰撞。有限的密码搜索空间使得散列的大小无关紧要，只要它“足够大”即可，因此唯一影响攻击难度的是计算单个 PBKDF2 散列的时间。此外，PBKDF2 有一种将输出长度拉伸(stretch)到比底层哈希长度更长的方法，因此您实际上可以使两者具有等效的输出空间。

Pro #2:SHA-1 至少部分损坏；密码分析结果为 attacks可以比蛮力更快地找到碰撞。一旦发现攻击，您通常可以预期它会得到改进——这意味着 SHA-1 是否适用于任何需要在未来几分钟内确保安全的事物是值得怀疑的。

缺点 #2: SHA-1 在理论上是“损坏的”，但已发现的攻击仍然非常昂贵，据我所知它们都是生日攻击(不会帮助您破解密码数据库)，也不会帮助您进行预镜像攻击(确实如此)。此外，由于 PBKDF2 使用哈希的多次迭代，将多轮哈希输出与密码反复结合，因此很难将对哈希的攻击扩展为对 PBKDF2 的攻击。要使 PBKDF2-SHA-1 不安全，需要对 SHA-1 进行非常严重的攻击。<​​/p>

总的来说，我认为您应该在一般原则上更喜欢 PBKDF2-SHA-256，但如果它不可用，PBKDF2-SHA-1 仍然被广泛使用，并且是目前中等安全密码哈希的合理选择。