盐：散列或纯文本？
盐是一种用于增加密码哈希复杂性的技术，它可以提高密码存储安全性。盐通常是一个随机生成的字符串，与用户的密码拼接在一起，然后对拼接后的字符串进行哈希计算，得到最终的密码哈希值。盐的作用是防止彩虹表攻击和暴力破解，提高密码破解难度。
盐可以是散列值或纯文本，但通常推荐使用纯文本，因为纯文本盐更易于处理和存储。使用纯文本盐时，需要确保盐的长度足够长，以增加破解难度。
推荐的腾讯云相关产品：腾讯云密钥管理服务（Key Management Service，KMS）。
腾讯云密钥管理服务介绍链接地址：https://cloud.tencent.com/product/kms
相关·内容
1回答
想知道是否有人有一些快速链接到代码片段，以生成一个随机的盐(这不容易，太容易猜到)，然后用生成的散列散列一些纯文本密码。
建议或链接，谢谢？
请给我.NET代码。
浏览 2提问于2011-06-16得票数 0
回答已采纳
我目前在node中工作，注意到bcrypt将盐放在散列的初始部分。
password
:
"$2a$04$kpj4oCA/b85xWAIL3n4l9uPMA2Ku4VR90oT3iE9IZVvREvmmJCZem"
salt
:
"$2a$04$kpj4oCA/b85xWAIL3n4l9u"
这样做是安全的。我的意思是散列和加盐的目的是阻止开发人员在数据库中插入明文密码。因此，如果有人现在进入我的数据库，他们知道我的盐，然后这只是一个蛮横的问题，迫使所有的密码，直到我得到其余的散列。为什么加盐是必要的呢？我可以只存储散列而不加盐。
浏览 9提问于2018-02-16得票数 2
2回答
安全用户身份验证是如何工作的？
、、、、
当用户注册时，我接受他们的密码，并使用散列和盐保护它，然后将其存储到mysql DB中。那么，当注册用户尝试登录时，我如何检查密码是否有效？
我能想到的唯一方法是获得他们的密码，hash+salt它，然后检查hash+salt是否在数据库中。但我不确定这是如何安全的？因为这意味着我的代码将hash+salt任何密码并在DB中找到匹配的密码。
我读到了关于每次登录页面被点击时生成随机盐的内容，但这不意味着如果一个注册用户试图登录，就会生成一个新的散列，它将不同于同一用户注册时生成的散列。
如果有人能阐明这一点，我将不胜感激。我使用的是Java。
浏览 4提问于2013-06-10得票数 3
回答已采纳
在创建保存密码时，我们可以使用盐进行散列。这是使用bcrypt包完成的，但是散列密码不包含完整的salt文本。请看这里： library("bcrypt")
my_password <- "password1"
my_salt <- "$2a$10$abcdefghijklmnopqrstuv"
hashpw(my_password, my_salt)
[1] "$2a$10$abcdefghijklmnopqrstuu2njjerFUdKeNqVoGia/slSqhJQ.vuAy" 因此，我使用的盐是"$2
浏览 25提问于2021-10-11得票数 0
我一直在做一些关于在数据库中安全存储密码的研究。通常情况下，建议您使用盐。正如中的一个答案所解释的那样，这会更改散列值，从而使密码更难破解。
作为验证机制的一部分，用户输入的密码将与盐相结合，并根据需要进行散列。考虑到盐对用户是透明的，使用盐如何提供任何额外的好处？
在我看来，无论是否使用散列，相同的密码都将成功地验证您的身份，因为使其不同的管道将在幕后进行。这就是为什么我到目前为止读过的文章都没有澄清事情的原因。
浏览 1提问于2011-12-22得票数 3
回答已采纳
1回答
我在用户注册过程中存储了密码的盐和哈希值...但是在他们登录的过程中，我会对用户给出的密码进行加盐和哈希处理，然后就会生成一个新的加盐和哈希。
string password = collection["Password"];
reg.PasswordSalt = CreateSalt(6);
reg.PasswordHash = CreatePasswordHash(password, reg.PasswordSalt);
这些语句在注册和登录中都有...
注册期间的salt和hash为eVSJE84W和18DE22FED8C378DB7716B0E4B6C0BA541673
浏览 3提问于2010-05-19得票数 0
回答已采纳
2回答
显而易见的答案是哈希。我正在考虑使用SHA512来散列一个咸密码。
我的问题是:我应该在哪里哈希密码？
我想过两种方法：
(1)我在应用程序中散列它。这意味着哈希将被传输到服务器。然后，服务器根据存储的哈希检查它，如果哈希匹配，则登录用户。
(2)我在服务器上散列它。哈希以相同的方式检查。
我的问题是，我觉得密码可能会被截获。在(1)中，哈希可以通过中间人攻击来提取.攻击者现在可以简单地使用该哈希来访问用户的信息。
在(2)中，攻击者可以拦截纯文本密码，并使用该密码访问用户的帐户。
我需要解决的是双方的问题吗？在客户端使用salt进行散列，然后在服务器端再次散列？
我不知道该如何进行。我不希望
浏览 3提问于2015-04-21得票数 5
回答已采纳
3回答
我记得有人告诉我，如果我让他修改4个字节，他就可以让一个文件有他想要的任何校验和()。
我听说有人说要在火腿上撒盐。我想知道如果有人让他的文件与我的文件匹配，会不会对MD5或SHA-1散列加盐来改变结果，这样两个文件就不会再冲突了？或者它只更改结束散列值？
浏览 0提问于2009-03-09得票数 5
我一直想知道CryptographyManager是如何将加了盐的哈希值与纯文本进行比较的。它必须将每个散列的盐保存在某个地方，对吧？有人对此有什么见解吗？
浏览 3提问于2011-02-16得票数 2
回答已采纳
我使用PHP在服务器端实现了一个加了盐的密码散列。现在，我希望在登录页面上的密码不应该是纯文本，而是sha512加盐的密文。我可以使用jQuery来实现这一点。 但问题是如何使用PHP验证从客户端收到的密码和保存在db中的加了盐的密码。
浏览 34提问于2021-05-08得票数 0
回答已采纳
1回答
我正在关注位于此处的MSDN文章：
我的困惑在于函数：
private static string CreatePasswordHash(string pwd, string salt)
{
string saltAndPwd = String.Concat(pwd, salt);
string hashedPwd =
FormsAuthentication.HashPasswordForStoringInConfigFile(
saltAndPwd, "SHA1"
浏览 0提问于2010-02-04得票数 2
回答已采纳
2回答
密码与随机盐的比较
、、、、
我有一个c#应用程序，我正在尝试编写一个基本的登录表单，使用php和mysql来存储密码。
我使用SHA512 +随机盐来存储密码，所以目前我正在对密码执行此操作。
散列(password+randomSalt)+随机盐；
因此，salt被附加到哈希，然后发送到服务器并存储。
现在我的问题是当有人尝试登录时进行比较。用户不知道salt，我不想向服务器发送纯文本密码，所以我有点卡住了。
我应该加密密码并将其发送到服务器，让服务器向用户发送salt，还是有更好的方法来实现？
我只想确保任何输入帐户密码的人都是适度安全的。
提前感谢
浏览 2提问于2011-11-02得票数 0
回答已采纳
2回答
如何在Laravel中检查密码？
、、、、
我用的是Laravel5.4。我知道哈希是单向的。我记得，我对密码进行了散列，并将它们保存在数据库中；当我想检查用户密码时，我会散列他们输入的密码，并在数据库上使用散列字符串检查密码。
在laravel中，我只需编写以下代码：
$email = $request['email'];
$pass = $request['password'];
if(Auth::attempt(['email'=> $email , 'password' => $pass])){
//return something
浏览 7提问于2017-08-19得票数 3
回答已采纳
我在Python语言中有一个用SHA-1加密的函数，使用的是hashlib。我获取一个文件，并使用此散列对其内容进行加密。
如果我为加密的文本文件设置了密码，我是否可以使用此密码来解密和恢复包含原始文本的文件？
浏览 0提问于2013-08-26得票数 2
回答已采纳
2回答
我用过这个
在注册时创建的密码哈希，但当我尝试登录时，它不允许我。
如何将哈希作为普通文本读取，该文本在被提交并转换为散列之前已被放入表单？
@编辑。
虽然当我使用整个散列text..but时，我可以使用散列密码登录，但这不是我想要的D：
@社论2
这就是登录的样子
using (SqlConnection con = new SqlConnection(ConfigurationManager.ConnectionStrings["Connect"].ToString()))
{
SqlCommand cmd = new SqlCommand
浏览 2提问于2016-05-20得票数 0
回答已采纳
在我的wpf测试程序中，我有一个passwordbox，当用户尝试登录并将字符串输入passwordbox时，如何将该字符串与加密密码进行比较以验证用户的身份，以及如何使此比较过程更加安全。我的困惑是:我是否应该将密码解密为纯文本，然后直接与用户输入的字符串进行比较，比如使用等式来确认两个变量是否相等？我个人认为，如果我这样做，应该应用更安全的编程技能，这类技能是什么？
浏览 2提问于2017-06-10得票数 0
回答已采纳
1回答
Bcyrpt生成不带盐的密码？
、、、、
我正在使用第三方库中的.NET Bcrypt散列实现，它有创建散列的方法，简单地提供文本或密码，如下所示。
Bcrypt.HashPassword("password")
我知道生成的散列包含salt信息，但它在创建散列时没有获取salt参数。
Bcrypt在内部创建随机盐并使用它？
如果我不使用salt重载方法，会导致安全漏洞吗？
浏览 5提问于2014-04-13得票数 0
假设盐类足够长(16个随机字符)，那么在将散列密码存储在数据库中时，除了使用每一个秘密盐之外，还有什么好处吗？
每个应用程序的盐将保存在代码中。每机密盐将以纯文本形式保存在与散列密码相同的数据库条目上。
浏览 0提问于2011-12-29得票数 5
回答已采纳
5回答
使用随机盐改进密码散列
、、、、
我正在创建一个网站，我试图决定如何加密用户密码，以便将它们存储在SQL数据库中。
我意识到使用简单的md5(密码)是非常不安全的。我正在考虑使用sha512(password.salt)，我一直在研究产生有用盐的最佳方法。我读过许多文章，指出盐应该尽可能地随机增加哈希的熵，这看起来是个好主意。但是：
您需要存储随机盐和散列，考虑到攻击者以某种方式访问了您的散列密码(并试图将哈希转换为纯文本)，这意味着他可能转储了您的数据库，然后访问了您的随机盐类--也就是。
很明显，数据库中哈希旁边的奇怪值是salt吗？如果攻击者可以访问salt和哈希值，这又如何更安全呢？
有人在这方面有专长吗？谢谢!
浏览 8提问于2012-02-23得票数 21
回答已采纳
3回答
我刚刚读了很多关于用salt散列密码的文章，但是我只是找不到对我所拥有的特定查询/混乱的答案。
假设我刚刚完成了将密码和salt添加到DB中的方法：
创建一个随机盐
散列用户密码+ salt
将散列输出作为密码存储在“密码”列中
将随机盐存储在“盐”栏中
如果这是正确的，当攻击者访问我的数据库时会发生什么？当然，如果他们能够读取这个散列密码的盐值，他们就可以计算出没有盐的散列密码是什么，然后使用彩虹表？或者用可逆的东西加密盐值也是个好主意吗？
如果盐值是以纯文本形式存储的，我就是看不到它的意义。请指点我？
浏览 0提问于2011-11-29得票数 4
回答已采纳
3回答
我一直在非常努力地考虑保护我的web应用程序，甚至远离暴力攻击和全面安全。我知道我们可以用纯文本存储我们的盐值，而且我们仍然有很好的安全性。
散列我们的盐值会给web应用程序增加更多的安全性，还是会浪费服务器上的时间和资源？
浏览 2提问于2014-05-07得票数 4
4回答
加盐的口令散列
、、、
我正在尝试为web应用程序创建一个登录系统，但我被困在几个点上。我将密码存储在我的数据库中，使用带有128位随机盐的sha2-512散列。
但是，我目前使用html表单将密码以纯文本形式发布到我的应用程序中，无论是在创建帐户时还是在用户登录时。我知道这是不对的。
我需要在客户端对密码进行哈希处理吗？如果是这样，我该如何考虑当前生成并存储在数据库中的盐？
注意:我这样做是为了学习不要在生产系统中使用
浏览 2提问于2011-10-13得票数 4
回答已采纳
我在ASP.Net Web应用程序中的登录功能，我打算用一种更好的安全方式，所以我用谷歌搜索了很多，最后我找到了: CrackStation.net。这真的很神奇..。问题是他们没有提到如何在数据库中存储盐和散列密码。这是一个在破解站找到的代码。我还有一个可以在浏览器中运行的。
我想知道如何在数据库中存储密码(slat和hash都连接并保存在一列中)或(每个都在不同的列中，例如盐是盐列，哈希是哈希列)…
请一步一步地解释密码的盐化和哈希处理，以保存在数据库中，并从数据库中检索和变量。
salt和hash是一样的吗？
我们在什么时候生成盐(随机盐)？为什么我们在sql数据库中将盐保存在单独的列中
浏览 0提问于2014-12-01得票数 0
1回答
我想使用来散列密码。但是我发现它的演示并没有使用salt来散列密码。但是它使用一个虚拟的盐来检查密码，我觉得这很奇怪，我完全不理解这个想法，
$dummy_salt = '$2a$08$1234567890123456789012';
if (isset($dummy_salt) && strlen($hash) < 20)
$hash = $dummy_salt;
我想知道，如果我想使用约定方法，我可以生成唯一的盐，并将其存储在我的数据库中的每个用户，我如何使用便携式PHP密码哈希框架来生成盐？
这是我用来散列密码的函数，但我被告知sh
浏览 8提问于2011-01-26得票数 1
回答已采纳
1回答
我读过这篇文章：
在密码散列的地方，它说最好在服务器中散列密码，因为如果有人窃取了散列数据库，可以在不需要密码的情况下访问用户帐户。
但是如果有人可以窃取哈希数据库，他就可以访问整个数据库，对吗？如果这是正确的，他可以访问所有数据，而不仅仅是用户信息。那么为什么他只想要部分信息呢？
浏览 0提问于2013-04-01得票数 0
回答已采纳
1回答
约翰开膛手与增量模式
、、、
我有一个关于开膛手约翰的问题，它是增量式的。据我所知，增量模式是一种蛮力模式，它试图通过系统地结合密码的所有可能性来获得密码。
根据密码类型的不同，这显然需要更长的时间。但是，让它成为一个md5咸密码哈希。John是否自动使用在/etc/shadow文件上以明文形式编写的salt来破解密码？或者它也是猜测一个有效的盐？
浏览 0提问于2017-04-29得票数 1
4回答
我需要向散列中添加一个盐。此散列列还用作其中一个表中的索引。出于显而易见的原因，我不想对所有值使用相同的硬编码salt。
有什么最好的方法可以每次为给定的字符串生成一个唯一的相同的Salt值，这样当我散列该值时，我会得到相同的输出(以帮助我使用散列值进行搜索)。
更新:感谢大家的投入。更多细节-我必须加密数据库中的列。此列还用于搜索表中的行，加密后我们不能使用它进行搜索，因为我们可能会在以后的某个时间点更改加密密钥。现在为了应对这种情况，我们考虑在表中添加一个哈希列，我们可以在其上执行搜索(因为我们不打算更改哈希算法，所以我们总是可以将其用于搜索目的)。为了使这个散列更安全，我们考虑向它添加一
浏览 3提问于2013-06-12得票数 1
2回答
我不理解存储/处理密码的一些概念。
例如，我们的网站为移动应用程序(iOS、安卓等)提供了一个公共应用程序接口，并提供了身份验证。
毫无疑问，我们不能在数据库中存储原始密码，也不能在客户端和服务器之间发送原始密码，所以我们使用哈希和盐。
这样，我们在客户端加密密码，并将散列发送到服务器。但是，如果“黑帽”窃取了密码散列，并用它向服务器api进行身份验证，该怎么办？
我应该在客户机上散列密码，发送散列，然后在服务器上再次散列它们吗？
这个问题的常见解决方案是什么？
非常感谢，提前。
浏览 2提问于2014-03-06得票数 1
听到大型科技公司最近发生的黑客攻击事件，我不禁想知道他们是否使用了密码存储。
我知道salting + has通常被认为是安全的，但我见过的salting示例都将salting密钥硬编码到密码脚本中，该脚本通常存储在同一服务器上。
那么，最初散列用户的密码，将散列传递到“加盐服务器”或存储在异地的某个函数，然后再将加了盐的散列传回，这是一个合乎逻辑的解决方案吗？
我的看法是，如果入侵者获得了访问包含存储的密码的服务器或数据库的权限，他们将无法立即访问salt密钥。
浏览 2提问于2013-02-20得票数 2
因此，我想使用asp.net核心标识v2.2.1中的相同算法对密码进行散列，但我的代码生成的散列与asp.net核心标识v2.2.1生成的散列完全不同
例如，12345678的哈希是
AGhTgD39ivyJtpe0pKALKjE+HwO4FSr8N08yVM/+BslSVEXWpDZj9CC0BVY5V8Xrdw==
但是由我的代码生成的哈希
ADwuhmrych2Y2OQpFsSRNjLkFWMnj++Czyp0NFMe7oZBU9noN5B4bXyopljBNLs7mQ==
我需要一个散列函数，生成散列在相同的格式，任何帮助都是感谢
public string HashPwd(stri
浏览 17提问于2019-07-29得票数 0
回答已采纳
6回答
散列值和加盐值
、、
我正在开发一个小的网络应用程序，内部认证用户。一旦用户通过身份验证，我的web应用程序就会将一些信息(如userID和人名)传递给第三方web应用程序。第三方开发人员建议我们对这些值进行散列和加盐。
请原谅我的无知，但这到底是什么意思？
我正在用Java编写应用程序。因此，我计划做的是使用Apache Commons Digest Utils SHA512将userID、Person's name和一些Math.random()值作为盐进行散列，并将该散列字符串与userID和person's name一起传递。
这是标准做法吗？我应该把盐也传给第三方，对吗？
浏览 0提问于2010-06-04得票数 9
回答已采纳
2回答
当我创建新的dtb条目时，我理解了hash+salt的概念。如果我有一些固定字符串的盐，它可能不是很难实现，但如何做，当我想使用用户的生日作为一个盐？将密码保存到数据库很容易，但是如何在登录期间散列呢？我在googled中搜索了我的applicationContext-security.xml文件的这段代码，其中他们将username值用于salt：
<!-- authentication from database -->
<security:authentication-manager>
<security:authentication-provide
浏览 4提问于2013-08-16得票数 1
回答已采纳
14回答
我们目前正在为我们拥有的web应用程序存储纯文本密码。
我一直主张使用口令散列，但另一名开发人员说这样会不太安全--更多的口令可能与散列匹配，字典/散列攻击会更快。
这种说法有没有道理呢？
浏览 2提问于2008-09-12得票数 6
回答已采纳
3回答
我试图用MD5/SHA和salting相结合的方式来加密密码的逻辑。
我理解用户验证文本密码，并将随机字符串(salt)附加到文本密码，然后通过任何您想要的加密方法对最终字符串进行散列的概念。
这就是我失去概念的地方
比方说，在我的用户数据库中，我有用户名和用随机盐值生成的加密密码
当用户登录系统时，输入了密码，我如何获取正确的盐来检查密码的有效性？
如果盐是随机生成的，我就不能重新计算它
我是否必须将盐与用户名/密码记录一起存储？如果我通过用户名查询数据库中的Salt值，似乎就违背了使用salting的目的。
如何在验证提供的密码时获得正确的salt？
浏览 1提问于2014-12-19得票数 1
1回答
防止标准ASP.NET表单在onsubmit事件中提交某些字段的最佳方法是什么？具体地说，我有一个注册页面，在这里我首先验证字段(RequiredFieldValidator)，然后提交表单。然而，我想只提交一个隐藏字段的密码散列，而不是实际的纯文本密码字段。
我可以在提交之前覆盖默认的onsubmit函数来使字段无效，但是这样我就不能验证密码了。处理这种情况的最佳方法是什么？
我是在ASP.NET 3.5上用C#写的。
谢谢。
浏览 7提问于2011-08-19得票数 1
回答已采纳
3回答
要授权用户，我们的应用程序定义如下步骤：
通过HTTPS发送用户电子邮件和密码(纯文本)。
当服务器接收到它时，生成一个salt来散列密码并存储它。
当用户想要登录时，用salt验证密码。
为了更容易地撤销用户密码，我选择在服务器上生成一个salt。但是我的同事认为在密码发送到服务器之前，应该先对客户端进行散列。
我的问题是，如果我们在客户端散列密码，它将使密码更安全。但是我们仍然把盐传送到服务器，否则我们就无法证实它。如果有人得到这个盐，密码仍然是不安全的。我怎样才能保护这个请求？
浏览 0提问于2019-06-27得票数 0
我必须重建一个从Rails到Node.js的项目。Bcrypt用于在Ruby项目中散列密码，我正在尝试重新构建相同的哈希，这样我就可以复制散列密码，用户可以在节点版本上使用相同的凭据登录。
此散列$2a$11$j2IA8cPRFFC4YOXTl5kb9eF02fwNdLyFAPOvflQ3h/QdX8mE1SNK2用于密码Test1234。我已经检查了Rails代码，我看到了下面的函数来散列密码
通用信息
COST = 11
SALT = 1234567890
创建散列
def password_hash(password)
pwd = "#{password}#{SALT}
浏览 6提问于2022-06-15得票数 3
回答已采纳
1回答
WSSE身份验证悖论
、、、
我目前正在对WSSE协议进行一些研究，以保护我的api。
我已经理解了它的基础，这一点在我的脑海中是清晰的。
然而，我面对一个问题。
比方说，我想生成一个一次性的摘要，我必须连接时间戳，随机数和密码。
但是，在服务器端，我没有存储在数据库中的明文密码，所以我无法检查摘要。
切换到清除密码不是一个选项。
我也不能向客户端提供用于散列密码的算法，因为他们使用salt，而salt对客户端不可用。
我能想到的唯一解决方案就是不要对摘要进行哈希处理，只需将数据连接起来并对其进行base64。
这样，我就可以对用户密码进行编码，以检查其有效性。
由于密码是以纯文本传输的，所以它可能不安全，但如果我强制HT
浏览 1提问于2012-09-26得票数 2
回答已采纳
我使用的是TripleDESCryptoServiceProvider，需要存储加密密钥。
如果我调用提供者的GenerateKey方法，这仅仅是一个base64编码的字符串吗？如果是这样，我是否可以安全地对其进行解编码，例如使用生成的字符串作为键？
稍有不同的是，在执行单向散列时，将此键用作salt键有什么问题吗？我正在为.net编写一个简单的成员资格提供程序，它允许用户选择加密技术(纯文本、散列、加密)，所以我想知道是否有必要让用户同时指定盐密钥和加密密钥。
浏览 0提问于2011-10-09得票数 3
回答已采纳
我已经使用Java创建了身份验证服务器。我想知道我应该如何在我的服务器中存储用户的凭据，以便我可以以最快和最好的方式执行身份验证。
浏览 0提问于2013-06-05得票数 0
3回答
在存储密码时，有人说Salt不需要保密，它的唯一目的是保持所有Hash的唯一性。也有人说，限制密码长度不是一个好的做法，但请考虑下面的示例：
在散列之前，我们确保纯文本版本在内部始终是128个字符，方法是将用户输入调整到最大值100，然后添加额外的字符作为我们的盐。
因此，如果用户输入20个字符，我们将附加108个随机字符作为盐。如果用户输入100，则附加28，依此类推。问题是，纯文本版本的长度应该是128个字符。在代码中，它可能如下所示：
$salt = generate_salt($pass); // length varies as explained above
$hash =
浏览 1提问于2012-04-29得票数 1
6回答
md5($password.md5($password))
这对于密码散列来说足够好了吗？我并不要求将其与bcrypt之类的东西进行比较。
如果它不安全，告诉我为什么。
浏览 0提问于2011-03-30得票数 11
2回答
我不得不将巨大的用户数据导入到一个包含MD5哈希密码的新应用程序中。我告诉CakeAUTH使用MD5，它也在使用它，但散列密码与原始散列不匹配。
AuthComponent明确使用了md5 (使用xdebug通过登录过程进行调试)。
在SimplePasswordHasher.php第52行中，它说
$this->hash($password)
结果是一个md5散列，但与我的原始散列不匹配。
如何解决这个问题？
浏览 2提问于2013-09-25得票数 0
我上周刚开始了一份新工作，在向任何人提起这件事之前，我要求做一次理智的检查。所有新的雇员帐户都是用相同的默认密码创建的(我知道，已经没有了)。今天，在运行SQL查询时，我注意到最近创建的所有帐户在数据库中具有完全相同的散列值。据我有限的理解，这表明密码在散列时没有被腌制，这将是一个主要的安全问题。我说的对吗？
浏览 0提问于2022-04-20得票数 2
回答已采纳
在我们的网站上，我们使用随机GUIDs作为计算用户密码的salt：
SHA1("mysecretpassword" + "a7841254-838a-45a0-8427-145e1d92287d")
每个密码散列的唯一盐都存储在数据库中。
我知道SHA1不再很安全了，但是考虑到我们给它添加了一个很长的随机盐，我几乎不能想象它可以被暴力攻击或彩虹表打破。
那么，这种存储密码散列的方法目前在加密方面是安全的吗？
浏览 7提问于2015-08-07得票数 1
2回答
假设我正在设计一个具有适度安全性要求的web服务。在大多数情况下，威胁模型更多的是关于无聊的大学生，而不是你在间谍小说中发现的任何东西。使用以下密码储存方案是否有实际问题？
salt _
其中站点是我的站点的唯一标识符，密码是用户密码，salt是特定于用户的随机盐，哈希是一个通用的加密哈希函数，比如SHA-1，而x\x表示连接。
我知道这个计划的某些问题。
哈希是(设计为)快速评估，一次迭代将留下特别弱的密码可猜测。
仅连在散列的整体输入中可能会导致“双关语”。
现在，在互联网上有一些保安专业人士会让我相信，如果这是我的想法，一个足够好的密码哈希计划，我不可能得到就业，
浏览 2提问于2011-08-20得票数 1
回答已采纳
所以，我在上找到了，所以你应该把密码和“盐”一起散列。(这些文章可以在和上找到。)
代码如下：
$password = 'fish';
/* should be "unique" for every user? */
$salt= 'ABC09';
$site_key = 'static_site_key';
hash_hmac('sha1', $password . $salt, $site_key);
现在我需要将$password和$salt都保存在MySQL中，如下所示：
+---------+---
浏览 1提问于2011-09-01得票数 20
回答已采纳
5回答
我认为这可能是一个愚蠢的问题，但我已经变得非常困惑，我在这里应该做什么才是最好的。
在对密码散列进行加盐时，加盐也应该是散列还是作为明文保留？
注意:我在SHA-256中散列一个密码，Salt是一个预定义的字符串，因为一次只有一个密码会被存储。
提亚
克里斯(香巴拉)。
浏览 0提问于2010-10-23得票数 6
回答已采纳
6回答
我已经通读了许多关于这方面的问题，但许多答案相互矛盾，或者我不明白。
您应该始终将密码存储为散列，而不是纯文本。但是您是否应该将盐(对于每个用户来说是唯一的)存储在数据库中散列的password+salt旁边。这对我来说似乎不是很聪明，因为不能有人访问数据库，查找名为Admin的帐户或其他什么，然后从中解出密码吗？
浏览 0提问于2010-04-06得票数 12
回答已采纳
2回答
如何找出使用了哪种加密/散列方法。我有原始密码文本及其加密形式，以下是密码及其加密形式：
Password1 - 2ac9cb7dc02b3c083eb70898e549b63
Newtestpassword1 - 4a43ab1ef64544e13d1c8f03bad63f4
如何识别使用哪种加密/散列方法？
有谁知道吗？
浏览 0提问于2011-07-25得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
