Salt Generation 和开源软件

Question

据我了解，生成盐的最佳实践是使用源代码中存储的一些神秘公式（甚至魔术常数）。

我正在开发一个计划作为开源发布的项目，但问题是源代码带来了生成盐的秘密公式，因此能够在我们的网站上运行彩虹表攻击。

我认为很多人在我之前已经考虑过这个问题，我想知道最佳实践是什么。在我看来，如果代码是开源的，那么盐根本没有意义，因为盐可以很容易地进行逆向工程。

想法？

Answer 1

由于有关加盐散列的问题经常出现，并且对该主题似乎存在相当大的困惑，因此我扩展了这个答案。

什么是盐？

salt 是添加到哈希算法输入的固定长度的随机字节集。

为什么加盐（或播种）哈希有用？

向哈希值添加随机盐可确保相同的密码会产生许多不同的哈希值。盐通常与哈希函数的结果一起存储在数据库中。
加盐哈希有很多好处：

1. 加盐大大增加了预计算攻击的难度/成本（包括 彩虹表）
2. 加盐可确保相同的密码不会产生相同的哈希值。
   这可确保您无法确定两个用户是否具有相同的密码。而且，更重要的是，您无法确定同一个人是否在不同系统上使用相同的密码。
3. 加盐会增加密码的复杂性，从而大大降低密码的有效性字典- 和 生日攻击。 (仅当盐与散列分开存储时，这才是正确的。
4. 适当的加盐大大增加了预计算攻击的存储需求，直到它们不再实用的程度。 （8 个字符区分大小写的字母数字密码，具有 16 位盐，哈希为 128 位值，将占用 略低于 200 艾字节< /a> 没有彩虹减少）。

盐没有必要保密。

盐不是秘密密钥，而是盐通过使哈希函数特定于每个实例来“工作”。对于加盐哈希，不存在一个哈希函数，而是针对每个可能的盐值都有一个哈希函数。这可以防止攻击者攻击 N 个哈希密码，而成本却低于攻击一个密码的 N 倍。这就是盐的重点。
“秘密盐”不是盐，它被称为“密钥”，这意味着您不再计算哈希值，而是计算消息验证码 (MAC)。计算 MAC 是一件棘手的事情（比简单地将键和值组合成哈希函数要棘手得多），而且它完全是一个非常不同的主题。

对于每个使用它的实例，盐必须是随机的。这确保攻击者必须单独攻击每个加盐哈希。
如果您依赖盐（或加盐算法）的保密性，那么您就进入了通过模糊实现安全性< /a> （不起作用）。最有可能的是，您不会从盐保密中获得额外的安全性；你只会得到温暖而模糊的安全感。因此，它不但不会让您的系统更加安全，反而会分散您对现实的注意力。

那么，为什么盐必须是随机的？

从技术上讲，盐应该是唯一的。盐的要点是每个散列密码都是不同的。这意味着全世界。由于没有中央组织可以按需分配独特的盐，因此我们必须依赖下一个最好的方法，即使用不可预测的随机生成器进行随机选择，最好是在足够大的盐空间内以使得碰撞不可能发生（两个实例使用相同的盐）盐值）。

尝试从某些“可能是唯一的”数据（例如用户 ID）中派生盐是很诱人的，但此类方案通常会由于一些令人讨厌的细节而失败：

1. 如果您使用例如用户 ID ，一些攻击不同系统的坏人可能只是集中资源并为用户 ID 1 到 50 创建预先计算的表。用户 ID 在系统范围内是唯一的，但在全球范围内不是唯一的。

2. 这同样适用于用户名：每个 Unix 系统都有一个“root”，但世界上有很多个 root。 “root”的彩虹表是值得付出努力的，因为它可以应用于数百万个系统。更糟糕的是，还有许多“bob”，其中许多人没有接受过系统管理员培训：他们的密码可能非常弱。

3. 唯一性也是暂时的。有时，用户会更改密码。对于每个新密码，必须选择一个新盐。否则，攻击者获得旧密码的哈希值和新密码的哈希值可能会尝试同时攻击两者。

使用从加密安全、不可预测的 PRNG 中获得的随机盐可能有点矫枉过正，但至少它可证明可以保护您免受所有这些危险。这并不是要阻止攻击者知道个人盐是什么，而是不要给他们提供将用于大量潜在目标的大而胖的目标。随机选择使目标尽可能薄。

结论：

使用随机、均匀分布的高熵盐。每当您创建新密码或更改密码时，请使用新的盐。将盐与散列密码一起存储。喜欢大盐（至少 10 个字节，最好是 16 个或更多）。

盐不会将坏密码变成好密码。它只是确保攻击者至少为他破解的每个坏密码付出字典攻击的代价。

有用的来源：
stackoverflow.com：密码哈希值的非随机盐
Bruce Schneier：实用密码学（书）
Matasano 安全性：彩虹表就够了
usenix.org：Unix crypt 自 1976 年起就使用盐
owasp.org：为什么要加盐
openwall.com：盐

免责声明：
我不是安全专家。 （尽管此答案已由 Thomas Pornin 审阅）
如果任何安全专业人士发现问题，请发表评论或编辑此 wiki 答案。

Answer 2

实际上，每个条目的盐都需要是唯一的。即使攻击者可以计算出盐是什么，这也会使彩虹表的创建变得极其困难。这是因为盐是在对密码进行哈希处理之前添加到密码中的，因此它有效地添加了彩虹表必须包含的条目总数，以列出密码字段的所有可能值。

Answer 3

自从 Unix 流行以来，存储密码的正确方法是附加一个随机值（盐）并对其进行哈希处理。将盐保存在以后可以拿到的地方，但又希望坏人不会得到它。

这有一些好的效果。首先，坏人不能只列出预期的密码（例如“Password1”），将它们散列到彩虹表中，然后遍历您的密码文件寻找匹配项。如果你有一个好的两字节盐，他们必须为每个预期的密码生成 65,536 个值，这使得彩虹表的实用性大大降低。其次，如果您可以防止坏人查看您的密码文件，那么计算可能的值就会变得更加困难。第三，您使坏人无法确定某个人是否在不同网站上使用相同的密码。

为此，您需要生成随机盐。这应该以统一的概率生成所需范围内的每个数字。这并不难；一个简单的线性同余随机数生成器就可以了。

如果您需要进行复杂的计算来制作盐，那么您就做错了。如果您根据密码计算它，那么您就大错特错了。在这种情况下，您所做的只是使哈希复杂化，而不是在功能上添加任何盐。

没有一个擅长安全的人会依赖隐藏算法。现代密码学基于经过广泛测试的算法，并且为了进行广泛测试，它们必须众所周知。一般来说，人们发现使用标准算法比使用自己的算法并希望它是好的更安全。无论代码是否开源，坏人仍然有可能分析程序的功能。

Answer 4

您可以在运行时为每个记录生成随机盐。例如，假设您将散列用户密码存储在数据库中。您可以在运行时生成一个由小写和大写字母数字字符组成的 8 个字符的随机字符串，将其添加到密码前面，对该字符串进行哈希处理，然后将其存储在数据库中。由于有 62⁸ 种可能的盐，生成彩虹表（针对每种可能的盐）将非常昂贵；由于您为每个密码记录使用唯一的盐，即使攻击者生成了几个匹配的彩虹表，他仍然无法破解每个密码。

您可以根据您的安全需求更改盐生成的参数；例如，您可以使用更长的盐，或者可以生成也包含标点符号的随机字符串，以增加可能的盐的数量。

Answer 5

使用随机函数生成器生成盐，并将其存储在数据库中，每行生成一个盐，并将其存储在数据库中。

我喜欢 django-registration 中如何生成盐。参考： http://bitbucket.org/ ubernostrum/django-registration/src/tip/registration/models.py#cl-85

salt = sha_constructor(str(random.random())).hexdigest()[:5]
activation_key = sha_constructor(salt+user.username).hexdigest()
return self.create(user=user,
           activation_key=activation_key)

他使用随机数生成的 sha 和用户名的组合来生成哈希。

煞本身就以坚不可摧而闻名。添加多个维度来生成盐本身，具有随机数、sha 和用户特定组件，您拥有牢不可破的安全性！

Answer 6

对于桌面应用程序加密数据并将其发送到远程服务器的情况，您如何考虑每次使用不同的盐？

使用 PKCS#5 和用户密码，需要盐来生成加密密钥，以加密数据。我知道在桌面应用程序中将盐硬编码（混淆）不是一个好主意。

如果远程服务器永远不知道用户的密码，是否可以每次使用不同的盐？如果用户在另一台计算机上使用桌面应用程序，如果他没有密钥（没有硬编码在软件中），如何解密远程服务器上的数据？