什麼是安全存儲密碼（散列）的最佳方式

Question

這些天來很多網站被黑客入侵，密碼哈希被盜。 即使像LinkedIn這樣的大型網站也沒有安全地存儲他們的密碼（只是md5）。

現在是我的問題，什麼是足夠安全的方式來散列密碼？

目前我使用的是這樣的：

sha512(sha512(sha512(password) + salt)); 

是不是足夠安全？

Answer 1

是的，這足夠安全。我個人認爲最後的sha512電話沒用，但我知道意見不同。

當然，只要密碼不能用蠻力戰術猜測，這是安全的。如果用戶選擇4個字母的密碼或他們的妻子的名字，則散列數量將無法保護您。

Answer 2

這取決於你的鹽。你是否爲每個用戶生成獨特的鹽？鹽不是一個常數，如果每個密碼都用相同的鹽進行散列，那麼就浪費了時間。

我會建議使用，而不是SHA512 /鹽的方法bcrypt，這是更難蠻力：http://krebsonsecurity.com/2012/06/how-companies-can-beef-up-password-security/

Answer 3

使用鹽一樣使用的是現在是一個非常好的提高安全性，我強烈建議使用隨機爲每個用戶提供鹽。恕我直言，更多的時間你會哈希用戶的密碼（你可以通過在每次哈希之前添加salt來提高安全性），它將越安全。我使用for循環與256次重複哈希密碼，可能被認爲是安全的，對抗下一個多年的蠻力。

一點題外話，但我建議也採取有關會話劫持護理（如再生的SSID，等...）

Answer 4

hash_hmac('sha512', $data , $key); 

將是巨大的。作爲鹽使用至少60個字符作爲$ key是更好的。

Answer 5

很難說哪一個最好，但安全的賭注是BCrypt算法。

BCrypt不是最好的算法;然而，對於絕大多數用例來說，這已經足夠了，並且即使不是簡單的實現，也比簡單的哈希和鹽方法容易實現。使BCrypt與衆不同的是，它不是採用更典型的SHA- *算法，而是利用了Blowfish算法，該算法具有並行速度較慢的優勢。由於用戶一次只能登錄一次，這使得測試衆多密碼的攻擊者難以擊敗該算法。

這裏更多：http://davismj.me/blog/bcrypt/