security - 为什么重新哈希处理将使其更安全？

Question

读一本书说：反复进行哈希运算以获得更多的计算密集型字节序列。如果您进行了100次哈希处理，则可能需要1个月的字典攻击将需要8年。为什么？我不明白有人可以解释吗？

Answer 1

假设您具有如下所示的哈希函数：

password_hash = MD5(password)

给定一个哈希（例如5f4dcc3b5aa765d61d8327deb882cf99），您的首选技术是使用上述函数在字典中生成所有单词的哈希值，然后将password_hash与要反转的哈希值进行比较。

现在假设您将哈希函数更改为

   password_hash = password
   for i = 1 to 100
     password_hash = MD5(password_hash)
   next

作为攻击者，这一次您将必须对字典中的每个单词进行哈希处理100次，以将其与要蛮力的给定哈希进行比较。因此，如果您多次对密码进行哈希处理，则攻击者要花更长的时间才能强行破解给定的哈希。

出于这个目的，像MD5和SHA系列之类的快速散列算法不太适合散列密码。您可以阅读 http://codahale.com/how-to-safely-store-a-password/来了解bcrypt之类的慢速算法如何更适合密码散列。