パスワードを複数回ハッシュすると安全性が向上しますか？

Question

パスワードを取得するのをより困難にするために1回だけではなく、同じアルゴリズムでパスワードを数千回、またはより頻繁にハッシュする方がはるかに安全だと聞きました。 だから私の質問です：それは本当ですか？

Answer 1

はい。これは、他のアプローチの中でbcryptによって行われたことです。

推論は単純です。受け入れるか拒否するかをチェックする前に、塩とパスワードをハッシュするのに合計数千時間かかることはありませんが、それはブルートフォース攻撃で可能なパスワードの束をテストすることです数千倍長い。だから、攻撃者は正当な使用を傷つけるよりもずっと多くのことを傷つけます。

しかし、それは再塩に注意してください。実際には、何千回もハッシュしないでください。しかし、bcryptのようなアルゴリズムを使用してください。そうした際に起こりうる欠陥についてはすでに検査されています。