encryption - 加密密码和加密问题

Question

我读过几篇关于加密密码的文章，我读到的似乎 bcrypt 是要走的路。

我对密码学几乎一无所知，如果我将用户名添加到密码中并对其进行哈希处理，从安全的角度来看有什么区别吗？

为每个用户创建盐是否有意义？如果我的数据库泄漏，这些盐也会在那里，我是否也应该使用全局盐来加密盐？

加密用户的电子邮件地址是否有意义？

我计划做的任何事情是:

+use bcrypt
+allow all characters in passwords
+force User to use a digit and special char in his password
+set the minimum password length to 8 chars

我不是在构建一个需要超高安全标准的应用程序，但我想为我的用户提供一些严重的保护，以防我的数据库以某种方式泄露。 (希望不会)

Answer 1

does it make any difference from the security point of view if I add the username to the password and hash that

没有额外的安全性，特别是如果您已经在使用 SALT。缺点是每次用户更改用户名时都必须重新散列并保留散列。

Also does it make sense to create a salt for each user?

是的，这是通常的做法。

If my db would get leaked those salts would also be there, should I encrypt the salts too with a global salt?

不，不要加密它们。 SALT 的目的只是迫使攻击者必须对每个用户/密码执行新的蛮力搜索，而不是对所有人进行一次蛮力攻击。

Does it make sense to also encrypt the user's email adress?

否。除非您对此有一些(奇怪的)业务需求。