向 .htpasswd 添加盐？

Question

是否可以在 .hpasswd 文件中的密码中添加盐？我认为不会，因为服务器需要每个用户的盐来验证密码，而且我无法想象它将如何获取它们，但否则如果要获取列表，它将相当容易受到攻击。有解决办法吗？

非常感谢您的帮助， 本

Answer 1

默认情况下，htpasswd 使用标准 crypt 函数，因此密码已经加盐 - 请注意此示例 具有相同的密码，但哈希值不同：（

simon@diablo:~$ htpasswd -b -c htpasswd simon abcd
Adding password for user simon
simon@diablo:~$ htpasswd -b htpasswd simon2 abcd
Adding password for user simon2
simon@diablo:~$ cat htpasswd 
simon:NWvm/LCCxQ64E
simon2:2I.LBzsRqULN6

注意：通常不鼓励使用 -b 标志，因为其他用户可以看到您的命令行参数，从而看到密码）

两个用户 哈希值是盐；通过再次调用crypt()来验证密码。输入错误的密码会产生一个与散列密码不相等的字符串：

>>> from crypt import crypt
>>> crypt("wrongpass", "NWvm/LCCxQ64E")
'NWbxQgX1unvso'

而正确的密码会产生预期的散列：

>>> crypt("abcd", "NWvm/LCCxQ64E")
'NWvm/LCCxQ64E'

htpasswd -m 使用基于 MD5 的不同算法并使用更长的盐：

simon@diablo:~$ htpasswd -m -b -c htpasswd simon abcd
Adding password for user simon
simon@diablo:~$ cat htpasswd
simon:$apr1$mfvnBVmG$iIHIHOaH9vcImG5G.8eVa/

这里， salt 是第二个和第三个 $ 之间的 8 个字符。

htpasswd -s 存储不带盐的 SHA-1 摘要；这似乎是为了与 Netscape/LDIF 兼容：

simon@diablo:~$ htpasswd -s -b -c htpasswd simon abcd
Adding password for user simon
simon@diablo:~$ htpasswd -s -b htpasswd simon2 abcd
Adding password for user simon2
simon@diablo:~$ cat htpasswd 
simon:{SHA}gf6L/odXbD7LIkJvjleEc4KRes8=
simon2:{SHA}gf6L/odXbD7LIkJvjleEc4KRes8=

这些可以轻松逆转 - 转换为十六进制摘要：

>>> "".join("%02x" % ord(c)
...      for c in "gf6L/odXbD7LIkJvjleEc4KRes8=".decode("base64"))
'81fe8bfe87576c3ecb22426f8e57847382917acf'

然后使用 在线哈希数据库。

Answer 2

htpasswd 实用程序已经在以下位置使用盐大多数情况：

crypt() 和 MD5 格式通过在前面添加随机盐字符串来排列表示形式，以使针对密码的字典攻击更加困难。

这就是密码文件中盐的（某种程度上）目的。虽然盐必须包含在服务器的 .htpasswd 文件中，服务器才能检查密码，但盐的多种不同可能性可以防御诸如 彩虹表。

但是，如果您的用户选择弱密码或通用密码，那么密码破解无论如何都是一个问题，因为攻击者（假定有权访问密码文件）将首先尝试这些密码，实际上很快（不受服务器速度和速度的限制）互联网连接），通过正常方式猜测。我能给出的最好建议是用户应该始终选择强密码。