php password_hash(存储在数据库中时出现问题)

Question

我一直在阅读有关密码哈希函数的内容，据说:使用盐使黑客的工作更加困难，使用高度成本算法等我找到了这个 password_hash 函数但是......它返回这个(字母是一个例子来解释)

AAAACCCSSS....SSSHHH.....HHHH

例子:

地点:

• AAA 是算法
• CCC 是成本
• SSS....SSS 是盐
• HHH.....HHHH 是我们得到的哈希值

假设(我认为)算法、成本和盐是用来让黑客的日子更难过的，如果我使用它，我的散列会更安全

但是，如果我使用所有这些但我告诉黑客我正在使用这种盐、算法和成本，会发生什么情况？

这样做我给了黑客很多线索

我的意思是，

我可以将所有字符串存储在我的数据库中吗？

或

我必须将哈希和(算法、成本、盐)存储在不同的地方吗？

如果有人得到了我的数据库，他就拥有了所有的哈希密码。

Answer 1

安全性并非来自信息的保密性。它来自计算成本非常高的算法。

这里的攻击是猜测一个明文，当使用给定的算法和 salt 和成本进行散列时，将产生相同的散列值。即使给出了所有信息(明文显然除外)并假设一个强(随机)明文密码，也需要很多很多年，可能千年，才能找到一个这样的值.这只是一个密码哈希，更不用说整个哈希数据库了。

保护在于使用一种代价高昂的算法，使猜测速度变得不可行，而不是将算法的细节(salt 和 cost 是)保密。