字符串和salt與密碼中的crypt（）相同是否安全？

Question

就像有人可以訪問散列「PafgokWMoHSZE」一樣。因爲這是通過crypt（Password1，Password1）獲得的，它會比任何其他鹽更容易/更難以進行反向工程？

Answer 1

我會說這不是很安全，因爲任何人都可以嘗試密碼本身作爲鹽。

一個破解者可以很容易地將它作爲一個規則來總是嘗試密碼本身作爲鹽。甚至不是系統的，而只是在一個測試批次上。如果你的鹽加密密碼泄漏了，他可以嘗試第一次運行，然後發現密碼非常容易，然後對列表的其餘部分應用相同的配方。

更多解釋

如果你的密碼是「花」，任何字典攻擊會試圖詞「花」。破解者會嘗試在md5，SHA1等中查找「花朵」的哈希值。如果它不起作用，那麼他會認爲哈希已被醃製。這使事情變得更加困難。除非他試圖將密碼本身用作鹽。

閱讀和害怕：http://arstechnica.com/security/2013/10/how-the-bible-and-youtube-are-fueling-the-next-frontier-of-password-cracking/

Answer 2

這是不太安全的，不這樣做。問題在於salt加在哈希上 - Pa開頭是Password1的前兩個字符。您已將9個字符的密碼減少爲7個字符的密碼。

PHP的crypt（）會自動爲您生成一個隨機鹽。除非你需要一個特定的算法，否則最好放棄它。

編輯：我剛想到這也給了用戶對散列算法的控制，這幾乎肯定不是你想要的。無效鹽（即密碼中的無效字符）也會導致crypt（）失敗。