хеширование
4 статей с этим тегом
Утечка данных Takufile-bin (2019) — почему хранение паролей в открытом виде фатально и защита через хеширование
Через уязвимость сервера получили несанкционированный доступ, и утекло ~4,8 млн записей — имена, почта, пароли входа, даты рождения, включая ушедших клиентов. Решающей ошибкой было то, что пароли входа хранились в открытом виде: утекнув, они сразу годились к использованию и питали захват аккаунтов на других сайтах через повторное использование паролей. Защита — хранить пароли как односторонний хеш с солью, не держать лишних данных, закрывать уязвимости и готовиться к повторному использованию (2FA).
Что такое хеширование паролей? Безопасное хранение паролей через одностороннее преобразование
Хеширование паролей означает хранение пароля как одностороннего, необратимого преобразования. Никогда не храните пароли в открытом виде. В отличие от шифрования, расшифровать обратно нельзя — в этом и смысл. Но обычные MD5/SHA-256 падают перед радужными таблицами и перебором. Решение: соль на каждого пользователя плюс намеренно медленный хеш (bcrypt/Argon2/scrypt). Не изобретайте своё — используйте стандартную функцию.
Как безопасно хранить пароли — правильный способ хеширования и соли
Практическое руководство по безопасному хранению паролей на сервере. Поймите, почему открытый текст, шифрование и сырые хеши все проваливаются, затем сойдитесь на одном ответе: соль для каждого пользователя плюс намеренно медленный хеш (рекомендуется Argon2id, bcrypt/scrypt как альтернативы). Не изобретайте своё — используйте стандартную функцию, со временем повышайте стоимость и переносите слабые хеши перехешированием при входе.
Что такое соль? «Приправа» на каждого пользователя, добавляемая к хешу пароля
Соль — это случайное значение на каждого пользователя, добавляемое перед хешированием пароля. Один и тот же пароль тогда хранится по-разному у каждого, что побеждает предвычисленные радужные таблицы и не даёт одному прогону взлома вскрыть много аккаунтов. Соль не секретна — храните её рядом с хешем. bcrypt/Argon2 добавляют её автоматически.