passwords - 多个密码哈希

Question

我目前正在开发一个需要高安全级别的 Web 应用程序，并且我一直在考虑密码处理。我应该使用散列密码，盐分足够大，但用不同的盐分或不同的算法对密码进行多次散列会有好处吗？

我不是指您应该多次对密码进行哈希处理以生成您的密码哈希，例如 Hash(Hash(Hash(salt + psw)))=pswhash，而是我我正在考虑使用 Hash(Hash(Hash(salt1 + psw)))=pswhash1 和 Hash(Hash(Hash(salt2 + psw)))=pswhash2，以及然后在登录时与两者进行比较。使用此例程，攻击者不仅必须找到一个生成 pswhash 的密码，而且必须找到一个必须正确生成两个哈希值的密码。这样发生冲突的可能性几乎为零，但攻击者可以使用第二个散列来确定来自第一个散列的密码是否正确。

有关应用程序的其他信息:该应用程序主要是我们公司的内部应用程序。 Alla 连接使用 https 处理，所有用户名对于此应用程序都是唯一的(因此您无法选择您的用户名)并且所有密码对于此应用程序都是唯一的(随机生成，您无法选择它们)。我们主要担心有人在我们使用react之前获得对系统的未授权访问。如果我们有时间使用react，“他们”可以找到确切的密码这一事实并不是什么大不了的事。

Answer 1

使用久经考验的技术——例如，PBKDF2 -- 而不是尝试自己动手。