2加密/散列的情況下，哪一個是最好

Question

思考這些下面兩種情況，哪一個是最好的，最安全的一個

第一種情況

//key1 generated from static salt and user password, because in case attacker don't know about source code (bad assumption, but still my assumption), attacker have only hashed or encrypted data + random generated salt 
staticSalt = "StaticSalt" 
key1 = pbkdf2(userPassword, staticSalt, iteration) 

//key2 generated from key1 and randomSalt, this will be actual key to be used for encryption 
randomSalt = GenerateRandomSalt() 
key2 = pbkdf2(key1, randomSalt, iteration) 

aes.Key = Key2 
aes.IV = aes.GenerateIV() 

或

第二種情況

//directly generate key from randomSalt and password 
randomSalt = GenerateRandomSalt() 
key1 = pbkdf2(userPassword, randomSalt, iteration) 

aes.Key = Key1 
aes.IV = aes.GenerateIV() 

我的問題是，使用第一種情況是否有任何缺點，它會增加或減少熵，或使得不太安全？

或者第二種情況是遠遠更好的和安全的方式做

尋找一些加密專家的回答。

Answer 1

此問題更適合於Sec.SE。

如果您使用此代碼存儲密碼，請參閱this question，特別是如何正確散列和存儲密碼。

---

第一種情況似乎添加了默默無聞，而不是安全性。從長遠來看，通過增加攻擊區域（即更多發生錯誤的地方），這實際上可能會降低安全性。

請記住，你don't want to be a Dave。