塩析 - 手順の順序

Question

正しい方法（または最も効果的な方法）であるパスワードを塩析するときは？

A.まず、パスワードをハッシュしてから、このような塩で、パスワードのハッシュをハッシュ：

$password = "passwd"; 

$salt = "s0merndslt"; 

$password = sha1($password); 

$salty = sha1($password.$salt); 

B.は、パスワードと塩を取ると、このようにそれらを一緒にハッシュ：

$password = "passwd"; 

$salt = "s0merndslt"; 

$salty = sha1($password.$salt); 

これまでに尋ねられたことがありましたら謝罪しますが、SOのこの特定の部分に対する回答は見つかりませんでした。

Answer 1

実際にはいずれの場合も、

しかし、あなたの例＃1は、（わずかに）無差別なパスワード検索ツールを減速させる時間とのトレードオフを提供します。

GPUの出現により、単純にパスワードの塩化は十分ではありません。 GPUでサポートされているbrute-forceパスワードツールは、見つかるパスワードを指定すると数分（または数秒）で短いパスワードを達成することができます。

これは、bcryptやPBKDF＃2などのツールやアルゴリズムが存在する理由です。ハッシュ操作を何度も繰り返すことで、大きなハードウェアが生成されるため、商品ハードウェア上でハッシュからパスワードを見つけることができなくなります。

疑問がある場合は、独自のパスワードハッシュソリューションを実装しないでください。 bcryptまたはPBKDF＃2を使用してください。