security - Salt Generation和开源软件

Question

据我了解，生成盐的最佳做法是使用存储在源代码中的一些神秘公式(甚至魔术常数)。

我正在开发一个我们计划作为开源发布的项目，但问题是源代码提供了生成盐的 secret 公式，因此能够在我们的网站上运行彩虹表攻击。

我想很多人在我之前已经考虑过这个问题，我想知道最佳实践是什么。在我看来，如果代码是开源的，那么使用盐就毫无意义，因为盐很容易被逆向工程。

想法？

Answer 1

真正的盐只需要对每个条目都是唯一的。即使攻击者可以计算出盐是什么，这也使得彩虹表的创建极其困难。这是因为在对密码进行散列之前，将盐添加到密码中，因此它有效地增加了彩虹表必须包含的条目总数，以便为密码字段提供所有可能值的列表。