パスワードハッシュへのアクセス権を持つ攻撃者はどのようにして塩分を保護しますか？

Question

私はパスワードの塩漬けに関する質問をよく読んできましたが、そのほとんどは私がすでに理解しているものをカバーしています。あれは;あなたのパスワードハッシュにランダムな塩を入れることのポイントは、パスワードが同じでも2つのハッシュが同じにならないようにすることです。次に、プリコンパイルされたリストに対してハッシュをマッチさせる虹のテーブル攻撃を阻止します（プリコンパイルされたハッシュのいずれもあなたが使用した塩を使用しなかったので、各塩/ハッシュに対して新しい虹テーブルを生成する必要があります）。もし私がそれを誤解してしまったら、私を修正してください。

私の質問：攻撃者があなたのハッシュにアクセスできる場合（これは私たちが防御しているシナリオです）、それはあなたのデータベースにアクセスしていることを意味します。ハッシュが何であるかは問題ではありませんが、必要なもので置き換えることはできますか？

Answer 1

データベースへの読み取りアクセスは、データベースへの書き込みアクセスを意味しません。

攻撃者がパスワードハッシュを既知のハッシュされたパスワード+ saltに更新できる場合、攻撃者は特定のアカウントにアクセスできます。しかし、パスワードハッシュのダンプは、データベースへの直接アクセス以外の場所から来る可能性があります。

Answer 2

すべてのアカウントの許可によって異なります。読み取り専用のアカウントがハッキングされている場合は、読み取りのみ可能ですが、上位のアカウントがハッキングされた場合は、攻撃者はそれよりもはるかに大きな権限を持ちます。