偶爾刷新散列密碼更安全嗎？

Question

我正在學習鹽和哈希密碼。我有一個與SQL數據庫集成的節點應用程序。我正在使用bcrypt節點中間件來創建哈希和醃製密碼以存儲在我的數據庫中。我已經閱讀了如何不必使密碼過期，除了安全威脅......但密碼的哈希值是什麼？

從我的角度來看，是不是每週都會隨機更新每個用戶的哈希密碼更安全？密碼將保持不變，但服務器將生成並存儲新的散列。

如果有人企圖攻擊我的網站或數據庫，會不會隨意更改幫助安全？

Answer 1

不，它根本沒有幫助。無論哈希值是否更改都無關緊要 - 密碼仍然相同，因此攻擊者仍然可以對他發現的數據庫啓動密碼搜索攻擊，而不管它是否是當前的密碼。

向您推薦使用bcrypt並瞭解如何使用password expiry policies are virtually useless。爲了您的信息，NIST在密碼安全方面提供了new guidance，好消息是，許多惱人的舊事物如密碼過期和需要組合特殊字符的內容正在被丟棄。謝天謝地，邏輯已經開始勝過過去十年間被太多人強迫的一堆垃圾密碼政策建議。

Answer 2

它不會幫助，因爲底層算法保持不變。在黑客收到散列密碼列表的情況下，她可以用已知的算法強制哈希，並以明文形式對付單詞列表中的猜測鹽。當算法和猜測的salt等於純文本時，無論結果散列如何，密碼都會被破解。