hash - 加盐您的密码 : Best Practices?

Question

关闭。这个问题是 opinion-based 。目前不接受答案。

---

想要改进这个问题吗？更新问题，以便 editing this post 可以用事实和引文来回答它。 .

已关闭 2 年前。

Improve this question

我一直很好奇...对密码进行加盐以进行哈希处理时，前缀还是后缀哪个更好？为什么？或者只要你加盐就没关系吗？

解释一下:我们现在(希望)都知道我们应该 salt在我们对密码进行哈希处理以将其存储在数据库中之前输入密码[编辑:因此您可以避免类似 what happened to Jeff Atwood recently 的事情]。通常，这是通过在将盐传递给哈希算法之前将盐与密码连接起来来完成的。但示例有所不同...一些示例在密码之前添加盐。一些示例在密码之后添加盐。我什至见过一些人试图把盐放在中间。

那么哪种方法更好，为什么？有没有一种方法可以减少哈希冲突的机会？我的谷歌搜索还没有找到关于这个主题的像样的分析。

编辑:伙计们，答案很好!抱歉我只能选择一个答案。 :)

Answer 1

前缀或后缀无关紧要，它只是为密码添加一些熵和长度。

您应该考虑以下三件事:

1. 您存储的每个密码的盐必须不同。 (这是一个很常见的误解。)
2. 使用加密安全的随机数生成器。
3. 选择足够长的盐。想想生日问题。

有一个很棒的 answer by Dave Sherohman另一个问题为什么应该使用随机生成的盐而不是用户名(或其他个人数据)。如果您遵循这些建议，那么将盐放在哪里并不重要。