Интернет магазин китайских планшетных компьютеров

Компьютеры - Соль (криптография) - Частые вопросы о соли для новичков

• Зачем как-то шифровать пароли в базе? Если получили доступ к базе, то получили доступ ко всей системе!
• Во-первых, не обязательно, что получили доступ ко всей системе. Но если ограничиться лишь обсуждением необходимости соли, то исходные пароли пользователей — это и есть та информация, которую мы защищаем. Соль не спасет от подбора, например, администраторского пароля, однако спасет от подбора паролей всех пользователей.

• Не надежней ли использовать свой алгоритм хеширования? Тогда и никакая соль не нужна.
• Свой алгоритм хеширования может быть прекрасной преградой для подбора паролей ровно до тех пор, пока он остается тайной. Так как этот алгоритм потребуется для проверки паролей — его реализация будет в коде вашей системы, а значит может быть украдена. Как только алгоритм становится известен — по нему строятся радужные таблицы, после чего происходит быстрый подбор исходных паролей ваших пользователей.

• Где хранить соль? Не опасно ли хранить ее в открытом виде? Можно ли поместить соль в код и ее использовать для всех паролей?
• Все, что может быть украдено — будет украдено. Если вы уверены в защищенности кода, то свой алгоритм хеширования поможет лучше соли. Помните — соль не защищает один конкретный хеш от перебора, поэтому нет цели прятать соль — она хранится в открытом виде рядом с хешом. Задача соли — спасти набор украденных хешей "удлиняя" пароль, а сделать она это может только в том случае, если у каждого хеша будет своя соль. Поэтому мы храним соль рядом с хешом и для каждого хеша генерируем свою уникальную последовательность символов соли.

• Зачем тогда все эти разные алгоритмы шифрования, например, в библиотеке crypt, если они известны?
• Появление разных алгоритмов преследует одну весьма банальную цель, которая, правда, не имеет к соли отношение. Это увеличение времени на их вычисление. Это основное оружие против подбора пароля. Даже MD5 алгоритм в unix библиотеке crypt использует тысячи итераций повторного хеширования. Однако, процесорные мощности растут, и в ход идут более ресурсоемкие алгоритмы хеширования.