hash - 密码盐如何增加安全性

Question

我试图了解密码盐如何提高安全性。基本上，对于每个用户密码，都会生成一个随机字符串，将其添加到密码中，然后进行哈希处理。当用户登录时，系统获取该特定用户的盐，将其添加到密码中，进行哈希处理并与存储的哈希值进行比较。

现在。我了解这如何使密码/哈希值更长。我不明白的是，这阻碍了自动功能选择用户名并仅在网站（例如，每次使用不同密码）上进行大量登录尝试的障碍。在我看来，盐在这种情况下似乎没有作用？

我确信我误解了这一点，如果有人可以帮助我理解我会感到很高兴。

Answer 1

我不明白的是，这阻碍了自动功能选择用户名并仅在网站（例如，每次使用不同密码）上进行大量登录尝试的障碍。在我看来，盐在这种情况下似乎没有作用？


正确。哈希和加盐不会阻止暴力登录尝试。 （为此，您想限制每单位时间的登录尝试次数，或者在X失败的尝试之后禁止登录）。

散列和盐化用于防止破解被盗的密码列表（或增加破解该列表所需的时间）。

存储密码时，您有3个选项：纯文本，哈希或哈希加盐。如果我窃取了您的密码列表：


纯文本：我现在拥有所有用户的登录详细信息。我可以冒充他们。 （那很糟）。
哈希：我可以使用rainbow table来从哈希中快速确定密码。 （也很糟糕）。
雾化+咸化：现在彩虹表不起作用。我必须花费更多的时间来破解每个密码。仍然可能，但是要困难得多（而且，除非您实际上很重要，否则我不会打扰）。请注意，这还使您有时间注意安全漏洞，并告知您的客户他们的密码被盗，并要求他们更改密码（因此，即使我最终破解了哈希加盐列表，也无法使用它）。


因此：散列+盐化用于防止（或减慢）使用蛮力方法从被盗散列中破解密码的尝试。