1

Где её хранить и в каком виде? В базе данных, в отдельной строке в таблице Users?

1
  • Комментарии не предназначены для расширенной дискуссии; разговор перемещён в чат.
    – user177221
    1 авг 2019 в 10:09

1 ответ 1

0

Предлагаю использовать две соли.

Соль алгоритма хеширования одинаковая для всех пользователей, так что ее лучше хранить в виде константы в процедуре, которая вычисляет хеш от (логин пользователя+пароль пользователя+соль пользователя+соль алгоритма).

Соль пользователя можно хранить в таблице пользователей с полями: логин пользователя, хеш пароля пользователя, соль пользователя.

10
  • Одинаковая соль - это категорически неправильно, бесполезно и небезопасно. В нормальных системах у каждого пользователя своя собственная соль.
    – andreymal
    1 авг 2019 в 7:52
  • Наверное, это разная соль. Та соль, которая у каждого пользователя, если она хранится рядом с хешем и логином, компрометирует закодированный пароль. 1 авг 2019 в 8:10
  • Каким же образом компрометирует? Если я вам скину свой хеш пароля с солью, скажете мне пароль?
    – andreymal
    1 авг 2019 в 8:12
  • Две соли это лучше, но если злоумышленник взломает сервер, он всё равно без проблем прочитает обе соли, а своя реализация хеширования со второй солью лишь снизит переносимость и совместимость с другими системами, поэтому я считаю это немножко бесполезным
    – andreymal
    1 авг 2019 в 8:19
  • Если я получил доступ к таблице, то там еще и логин, а алгоритм хеширования скорее всего MD5 (можно другие подобрать). Осталось также подобрать порядок соединения соли, пароля и логина, и запустить перебор паролей. К тому же, не совсем понятно, почему одинаковая соль небезопасна (у нее есть конечно минусы, когда логин+пароль совпал у двух пользователей, то хеш получится одинаковый), но по крайней мере эта соль лежит отдельно от таблицы и вообще от БД где-нибудь на сервере приложений, т.е. для взлома паролей придется ломать не только БД, но и сервер. 1 авг 2019 в 8:26

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.