多重密碼散列

Question

我目前正在研究一個需要高級別安全性的Web應用程序，並且我一直在考慮密碼處理。我應該使用帶有足夠大的salt的哈希密碼，但使用不同的salt或不同的算法多次哈希密碼會有好處嗎？

我指的不是事實，你應該多次產生像Hash(Hash(Hash(salt + psw)))=pswhash您的密碼哈希散列密碼，而是我在考慮使用Hash(Hash(Hash(salt1 + psw)))=pswhash1和Hash(Hash(Hash(salt2 + psw)))=pswhash2，然後在登錄時比較兩者。 使用此例程時，攻擊者不僅必須找到一個可生成pswhash的密碼，而且還必須能夠正確生成兩個哈希值的密碼。這樣，碰撞的可能性幾乎爲零，但攻擊者可以使用第二個散列來確定第一個散列的密碼是否正確。

關於應用程序的更多信息： 的應用主要是爲我們的公司內部應用程序。 Alla連接使用https處理，所有用戶名對於此應用程序都是唯一的（因爲您不能選擇您的用戶名），並且所有密碼對於此應用程序都是唯一的（隨機生成的，您不能選擇它們）。我們主要擔心有人在我們能夠做出反應之前未經授權訪問系統。如果我們有時間迴應「他們」可以找到確切密碼的事實並不是什麼大不了的事情。

Answer 1

您應該多次散列密碼，足夠多的時間佔用很多秒。這使得訪問數據庫的黑客無法單獨破解密碼，因爲所需的處理能力呈指數級增長。

See this question for related information

我想多鹽散列基本上是老調重彈的另一種方式，而且是安全透過朦朧，而不是做，我只想堅持到老調重彈。

Answer 2

使用嘗試和測試技術 - 例如，PBKDF2 - 而不是試圖推出自己的。