mysql - 对已经散列的 BCrypt 密码进​​行加密是否太过分了？

Question

我正在使用 BCrypt 在服务器端对我的密码进行哈希处理。在将其存储到 MySQL 数据库之前，加密我的散列 BCrypt 密码会不会太过分，或者直接将散列存储在数据库中就足够了？

这个website建议对密码进行哈希处理后对其进行加密:

As long as an attacker can use a hash to check whether a password guess is right or wrong, they can run a dictionary or brute-force attack on the hash. The next step is to add a secret key to the hash so that only someone who knows the key can use the hash to validate a password. This can be accomplished two ways. Either the hash can be encrypted using a cipher like AES, or the secret key can be included in the hash using a keyed hash algorithm like HMAC.

编辑:我正在用 Java 编码。我正在尝试衡量增加的保护层与读取和检索用户登录密码的速度性能是否值得。

Answer 1

这确实会提高安全性，但最好了解加密究竟能带来什么。

• 加密密码哈希可以保护弱用户密码免受攻击字典攻击，在特殊情况下，攻击者有对数据库(包含哈希值)的读访问权限，但没有使用 key/pepper 访问源代码。

这种情况并不像人们想象的那么罕见，典型的场景是 SQL 注入(inject)、丢弃备份、丢弃服务器......

为了能够暴力破解密码，需要服务器端 key ，该 key 用于加密密码哈希。这意味着，能够从数据库读取哈希值已经不够了，需要额外的权限才能从服务器读取 key 。获得服务器上的权限比读取数据库要困难得多。

Crackstation 是一个提供建议的好网站。在我自己的关于safely storing password的教程的最后我尝试解释这种密码哈希加密的细节。