cryptography - 可以为bcrypt随机生成盐吗？

Question

我正在进行网站身份验证，正在考虑使用bcrypt并随机创建一个存储在我的用户登录行中的salt。我希望自己的网站速度快，但是使用15生成任何东西(耗时约1秒钟)都太慢了，所以我考虑在5-14之间随机生成盐，但这是否安全或有更好的方法？

如果有帮助，我正在使用py-bcrypt。

Answer 1

使用bcrypt的一个主要原因是通过占用大量CPU时间来计算哈希来防止暴力攻击。对于您的问题，我将使用固定长度的盐，但是使用随机值，这样每个密码需要花费相同的时间来计算。

通过此操作，您可以满足您的需要，并且可以满足您认为足够安全的程度，尽管我个人希望确保在真正强大的服务器上生成哈希至少需要1/2秒。