security - 我可以公开哈希盐+密码吗？

Question

我在盐 + 密码上使用 SHA-512 哈希 1000 次。在查询有关用户的信息时返回该信息是否安全，或者我应该保护它并使其仅通过 HTTPS 可用？

例如，如果我提出以下请求:

GET: http://domain.com/users?id=437

它返回:

{"firstName":"Eliot","lastName":"My last name","email":"email@emailplace.com","password":[91,49,-34,77,79,-48,67,-62,-12,84,84,-18,-81,23,-92,-31,74,-28,-80,102,60,35,-102,115,18,-76,20,-90,-8,91,13,23],"authToken":"33c977b1-5ab6-4a8a-8da9-68c8028eff92","id":179}

公开重要吗？

Answer 1

为什么您曾经要返回用户的密码来响应任何面向公众的查询？无论密码以什么形式返回——这从根本上来说都是不安全的!

密码可以被破解。给定哈希值并了解哈希值的构造方式，您可以暴力破解相关参数。尽管需要花费 1000 倍的时间，并且盐可能必须被暴力破解(如果不包含在查询响应中)，但这种可能性仍然存在(如果值很高，那么有足够耐心、拥有正确资源的人可能会这样做足够的)。不要冒险——只是不要以任何形式泄露密码。