Нужно ли хранить соль с bcrypt?

Question

Нужно ли хранить соль с bcrypt?

176

bCrypt javadoc имеет этот код для шифрования пароля:

String pw_hash = BCrypt.hashpw(plain_password, BCrypt.gensalt());

Чтобы проверить, совпадает ли пароль открытого текста с ранее сохраненным хэшем, используйте метод checkpw:

if (BCrypt.checkpw(candidate_password, stored_hash))
    System.out.println("It matches");
else
    System.out.println("It does not match");

Эти фрагменты кода означают, что случайно сгенерированная соль выбрасывается. Это так, или это просто вводящий в заблуждение фрагмент кода?

RodeoClown 10 нояб. 2008, в 05:16

Источник

Теги:

java

encryption

passwords

bcrypt

salt

1 ответ

Ещё вопросы

Greg Hewgill · Accepted Answer · 2008-11-10T04-59-00.000Z

205

Лучший ответ

Соль включается в хэш (кодируется в формате в формате base64).

Например, в традиционных паролях Unix соль хранилась в качестве первых двух символов пароля. Остальные символы представляли хеш-значение. Функция checker знает это и вытягивает хэш отдельно, чтобы вернуть соль.

Greg Hewgill 10 нояб. 2008, в 04:59

59

Соль включена в пароль. Так что вам не нужно спасать соль.
Swapnonil Mukherjee 10 нояб. 2008, в 08:57
2

Спасибо за это. Я хотел бы, чтобы они сказали это в javadoc :) (Я посмотрел на источник и подтвердил - но я не знал, что я искал раньше)
RodeoClown 10 нояб. 2008, в 22:17
3

Спасибо - никогда не упоминается в документации по Python.
Nikhil Chelliah 23 дек. 2008, в 00:34
1

Спасибо - я тоже пытался это понять! Теперь мне интересно, если это хорошая идея. Есть ли преимущество / недостаток в сохранении соли в хеше по сравнению с ее хранением отдельно?
Adam 12 янв. 2011, в 21:58
8

@Adam - Поскольку соль генерируется случайным образом, это означает, что вам не нужно иметь метод, связывающий две вещи в вашей базе данных.
RodeoClown 26 янв. 2011, в 20:39
0

Я взглянул на исходный код и обнаружил, что хотя JavaDoc для аргумента соли «возможно, сгенерирован с использованием BCrypt.gensalt», я обнаружил, что вы должны использовать метод genSalt (), иначе вы получите исключения = /
the_new_mr 31 янв. 2013, в 18:17
0

Или есть соль в очень конкретном формате. С тем же успехом они могли исключить соль в качестве параметра для метода и просто вызвать его внутри. Тестирование кода с моей солью подтвердило это (PS извините за двойной комментарий). Это заставляет меня задуматься, насколько безопасен этот код на самом деле (это может быть хорошо ... Мне просто интересно)
the_new_mr 31 янв. 2013, в 18:34
0

Код здесь выглядит хорошо: crackstation.net/hashing-security.htm
the_new_mr 31 янв. 2013, в 19:43

Показать ещё 6 комментариев