C中的密码(盐/哈希)库？
盐是指为了增强密码的复杂度和不可预测性，在密码中加入的一些随机字符，这些字符被称为盐。哈希是将任意长度的输入数据映射到固定长度的输出数据，通常用于密码存储和验证。
在C中，密码的哈希通常使用SHA-256算法来实现。哈希算法是一种单向函数，即从哈希值很难推算出原始密码，因此可以保护密码的安全性。
在C中，密码的盐通常使用随机数生成器来生成。随机数生成器通常使用一些数学算法来生成随机数，这些算法通常在C标准库中提供。
密码的盐化和哈希通常是一起使用的，盐化后的密码再经过哈希处理，可以生成一个安全的哈希值，用于存储和验证密码。
腾讯云安全解决方案中，也提供了密码盐化和哈希的处理功能，可以用于保护用户的密码安全。
腾讯云安全解决方案中，也提供了密码盐化和哈希的处理功能，可以用于保护用户的密码安全。
相关·内容
3回答
对密码字段进行散列和盐析
、、、
一段时间以来，我一直在讨论如何在数据库中存储密码的问题。这是我第一次使用网络登录创建安全的应用程序，所以我想建立一些良好的实践。
首先，我读到了哈希和盐的内容。看来这个想法是..。
获取散列算法
从用户处获取密码
将“salt”添加到用户的纯文本密码
散列整个密码(包括salt)
将salt存储在db中，以便以后检索它(用于验证PSWD)。
这让我想到..。如果黑客知道您的salt (因为它存储在DB中某个地方，可能是一个名为this_is_not_the_salt_ur_looking_for的列或类似的模棱两可的东西)，他们可以重新生成密码字典并获得访问权限。
浏览 7提问于2011-08-18得票数 5
回答已采纳
1回答
我在研究如何做盐和哈希。我将使用SHA256。以下是我的发现：
存储密码
使用CSPRNG生成一个长的随机盐。
将salt准备到密码，并使用标准的密码散列函数(如Argon2、bcrypt、scrypt或PBKDF2 )散列它。
在用户的数据库记录中同时保存salt和hash。
验证密码
从数据库检索用户的salt和hash。
将salt准备到给定的密码，并使用相同的哈希函数对其进行散列。
将给定密码的哈希与数据库中的哈希进行比较。如果它们匹配，密码是正确的。否则，密码不正确。
我的问题是:在数据库中对用户的密码进行散列后，如何获得原始的盐分？您不能“解散”盐分，并将其添加到他们输入的密码中，
浏览 0提问于2017-11-13得票数 1
1回答
如何实现2048位哈希的存储和比较算法？
编辑1:
我想我的问题还不够清楚。我的意思是我不会做我的加密算法。但是怎么能存储密码和盐。是每个密码的随机盐。那么，在数据库中存储salt和密码是不明智的。
编辑2:
那会是个好办法吗？
1)用户输入密码，
2)系统生成密码的散列，
3)系统为该盐类生成密码(我使用time ()?)
作为随机盐，如何以及在何处将盐存储到密码中？拜托，我不想把盐和密码一起储存，因为我觉得这不太确定。
因此，在存储的密码和用户登录时相同的salt之后，我获得与salt一起存储的密码散列，并将其与保存的salt提供的密码哈希进行比较。
在哪里保存盐？这是个很好的方法吗？
浏览 1提问于2012-11-28得票数 0
回答已采纳
2回答
我正在处理一个应用程序，在这个应用程序中，员工将首先通过输入loginID和密码注册到系统中。密码被散列和盐析，并存储在登录表中(这两个值都与loginID值一起存储)。但是，当我通过代码逐步登录到应用程序(注册过程之后)时，哈希值和salt值永远不匹配。
当用户登录到系统时，我将如何验证用户的密码？
加密功能：
protected static void EncryptPassword(eWebEmployee oEmp)
{
// Create Hash & Salt
sysSecurity oSecurity = new sysSecurity();
oE
浏览 1提问于2012-07-11得票数 0
回答已采纳
在我的数据库中，我有一个列用于哈希密码和salt。我的应用程序允许用户更改密码。我应该使用相同的salt作为密码，还是应该生成一个新的？这对应用程序的安全性有影响吗？
浏览 0提问于2014-03-30得票数 8
回答已采纳
我使用的是MicrosoftMVC5和ASP.NET identity。
我有一张叫AspNetUsers的桌子。
它有一个名为"PasswordHash“的字段。
我用相同的密码创建了2个用户，但是密码散列不同。
为什么我不明白它是如何工作的？它使用机器密钥了吗？
如果我将我的服务器部署在云中，使用相同的数据库，会发生什么？
身份密码比较也会在那里继续发挥作用吗？
浏览 1提问于2015-09-20得票数 3
我需要对一些密码进行加盐和散列处理，这样我才能将它们安全地存储在数据库中。关于如何最好地使用Linq to SQL来实现这一点，您有什么建议或想法吗？
浏览 0提问于2009-02-24得票数 10
回答已采纳
1回答
密码散列-比较两个字符串
、、、
我刚刚添加了一个函数到散列和盐分密码，这些密码存储在Access数据库的“备注”字段中。
散列/腌制很好，但我在网上找不到任何东西，告诉我如何解密它们。
我确实看到一些地方说你做不到，但必须从数据库中获取密码，然后散列输入的密码(登录屏幕)并比较这两个字符串。我已经尝试过了，但是这两个字符串是不同的，所以我无法登录。
创建哈希/盐类的算法包括
Public Shared Function createRandomSalt() As String
Dim mix As String = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrs
浏览 5提问于2017-03-15得票数 0
回答已采纳
我正在努力找出正确使用password_hash的方法，下面有下面的脚本
<?php
$password = "test3";
$hashAndSalt = password_hash($password, PASSWORD_BCRYPT);
echo $hashAndSalt;
?>
据我所知，这也是一种盐吗？
当我运行脚本时，散列的开头以"$2y$10$“开头，其余部分在每次运行时都会更改。
$2y$10$.YHHLeFYcQoE6c//vl587uIFTOljmpmuDnSA0w0dxo1Rrpvi5zM9m <- run on
浏览 2提问于2014-07-21得票数 1
回答已采纳
3回答
我刚刚读了很多关于用salt散列密码的文章，但是我只是找不到对我所拥有的特定查询/混乱的答案。
假设我刚刚完成了将密码和salt添加到DB中的方法：
创建一个随机盐
散列用户密码+ salt
将散列输出作为密码存储在“密码”列中
将随机盐存储在“盐”栏中
如果这是正确的，当攻击者访问我的数据库时会发生什么？当然，如果他们能够读取这个散列密码的盐值，他们就可以计算出没有盐的散列密码是什么，然后使用彩虹表？或者用可逆的东西加密盐值也是个好主意吗？
如果盐值是以纯文本形式存储的，我就是看不到它的意义。请指点我？
浏览 0提问于2011-11-29得票数 4
回答已采纳
目前，我正在学习Rails，但答案并不一定是Rails特定的。
因此，据我所知，安全密码系统的工作方式如下：
passwordSystem 用户使用加密算法(例如SHA2)创建加密密码。存储数据库中加密密码的散列。
登录时尝试：
algorithmSystem用户尝试登录系统创建相同加密的哈希，比较数据库中的尝试哈希和密码哈希，如果匹配，则输入。如果没有，他们必须再试一次。--
据我所知，这种方法会受到彩虹攻击--其中可能发生以下情况。
攻击者可以编写脚本，该脚本实质上尝试字符、数字和符号的每一个排列，使用相同的加密算法创建哈希，并将它们与数据库中的哈希进行比较。
因此，它的方法是将散列与唯一
浏览 4提问于2010-10-23得票数 13
回答已采纳
2回答
如何在Laravel中检查密码？
、、、、
我用的是Laravel5.4。我知道哈希是单向的。我记得，我对密码进行了散列，并将它们保存在数据库中；当我想检查用户密码时，我会散列他们输入的密码，并在数据库上使用散列字符串检查密码。
在laravel中，我只需编写以下代码：
$email = $request['email'];
$pass = $request['password'];
if(Auth::attempt(['email'=> $email , 'password' => $pass])){
//return something
浏览 7提问于2017-08-19得票数 3
回答已采纳
2回答
对于登录，用户凭据通常是某种形式的“用户名”和匹配的“密码”。
密码(希望)存储在数据库中的散列中。
但是用户名呢？
用户名是否以明文形式存储在数据库中？
对用户名和密码进行散列会是个好主意吗？
浏览 0提问于2018-05-04得票数 1
回答已采纳
1回答
Qt计算与密码哈希比较
、、、
目前在Qt中为一个测试程序构建一个面向身份验证的web服务。
我的理解是，当将用户密码存储在数据库中时，必须将其隐藏起来，以防落入错误之手。
流行的方法似乎是将添加到密码，然后存储组合的计算散列的过程。
以后可以比较这个哈希：
散列(用户输入+ SALT )= StoredHash
Qt提供了::hash(数据，算法方法)，但是由于密钥可能是随机的，我不知道这是如何有用的。
另外，Qt提供了：：散列( message，key，Algorithm方法)，我认为消息是用户密码，密钥是pseudo_random(row_id)是正确的。
我正在考虑使用Sha2-256算法，我需要吗？
浏览 2提问于2016-10-19得票数 0
回答已采纳
1回答
我正在设计一个基本的电子邮件和密码表单在我的申请。它使用在链接到它的数据库中找到的用户名和密码。我遇到了一个问题，我如何让它考虑到区分大小写？例如：
正确的详细信息:电子邮件: matt@gmail.com密码: gordan123
但是它允许密码是: Gordan123，GORDAN123和GoRdAn123等。我如何使它只接受数据库中的区分大小写的密码？
对不起，我不知道如何更好地描述这个问题。代码如下：
SQL_Str = "CREATE TABLE Table_UserDetails (UserImageLocation TEXT, FirstName VARCHAR(25)
浏览 0提问于2013-11-01得票数 1
1回答
我希望有一段能够检查给定密码是否与存储在人群cwd_user表中的密码匹配的代码。
该表中的密码以“{PKCS5S2}.”开头我在下面的链接中发现，人群正在使用PBKDF2算法：
默认情况是"Atlassian“，它目前是Bouncy城堡实现PKCS 5版本2(又名PBKDF2)的一个愚蠢的包装器，它使用一个随机的16字节盐、10,000个迭代，并生成一个256位哈希作为最终输出。
有人能给我提供一个方法来匹配密码吗？
例如，如果我使用密码"1234“创建一个用户"toto”，则在我的数据库中得到以下行：
user_name credential
浏览 2提问于2014-10-03得票数 4
回答已采纳
1回答
短版本：，我有一个服务器程序，我用C++编写，还有一个网站，用Wordpress。我想把用户提供的密码和存储在Wordpress中的密码进行比较，以使用户登录。
长版：一开始我以为是，但结果却是。我可以访问数据库，并且可以导入users表。我编写的and服务器、数据库和C++服务器与Debian运行在同一台计算机上。如何从Wordpress验证C/C++上的密码？
浏览 1提问于2016-02-13得票数 1
回答已采纳
1回答
因此，我需要通过need服务使用给定的用户名和密码来验证用户。我有一个使用CodeFirst实体框架生成的SQL Server数据库。我的问题是，密码没有直接存储到数据库中，因为它是用盐散列的，而我不知道这一点。那么，我该如何处理这个问题呢？因为我不知道他们使用的盐，所以尝试获取正确的散列是非常没有意义的。
关于我应该如何解决这个问题，有什么建议吗？
浏览 0提问于2014-12-13得票数 0
4回答
我在我的.NET (C#)客户机中使用.NET(C#)客户端使用随机生成的salt (Blowfish)对用户的密码进行散列。
然后，我继续将散列密码发送到我的远程服务器，该密码存储在MySQL数据库中。
当我尝试使用相同的纯文本密码登录时，所发送的内容与存储在数据库中的内容之间存在哈希不匹配。(很可能是因为每次换盐)
我不想将未加密的纯文本密码发送到我的PHP端，如果不使用静态盐类，我如何做到这一点？
散列(C#):
string passHash = Crypter.Blowfish.Crypt(Password.Text, Crypter.Blowfish.GenerateSalt())
浏览 9提问于2016-06-10得票数 0
3回答
我目前正在一个系统上工作，我需要存储哈希密码。我使用cryptographically secure pseudo-random number generator(CSPRNG)生成salt。我正在使用PBKDF2对附加于salt的密码进行散列，最终将存储在数据库中。
我没有得到的是为什么我甚至需要将salt和hashed password一起存储在数据库中。我确实理解salt的目的。它大大降低了rainbow and lookup攻击成功的几率。同样，具有相同密码的用户将在数据库中存储不同的散列。
那么，在数据库中存储盐的需求在哪里呢？
更新：
我应该早点提到这件事，但那次它并没有点击我。
浏览 0提问于2018-05-22得票数 2
回答已采纳
1回答
我有一个现有的web应用程序，它有几千个用户，我正在将其移植到Rails。当我重写和重构这个应用程序时，为了开发、测试和生产目的，我可能需要在任意数量的不同服务器上运行它。
我在用户模型中使用Rails的内置has_secure_password方法，但我担心密码数据的可移植性。我需要将数据库的内容从一台机器移到另一台机器，在不同的环境中进行测试，非常重要的是，我可以使用每个环境中相同的一组用户和密码来测试用户身份验证功能。
到目前为止，很容易找到bcrypt与Rails has_secure_password一起工作的答案，但是经过几周的搜索，我还没有找到一个明确的答案。
如果has_sec
浏览 3提问于2013-09-29得票数 5
回答已采纳
3回答
我有一个服务器应用程序接受客户端应用程序的多个实例/用户通过互联网/套接字连接登录。用户名和密码将保存在服务器上的数据库中。但是我如何安全地保存它们呢？如何安全地进行身份验证和从客户端发送用户名/密码？目前，我以纯文本字符串的形式发送所有内容。
服务器/客户端之间会有流数据(金融和股票价格)，但这些数据并不重要，所以我认为没有必要保护这些数据。
浏览 3提问于2011-09-16得票数 0
回答已采纳
4回答
加盐的口令散列
、、、
我正在尝试为web应用程序创建一个登录系统，但我被困在几个点上。我将密码存储在我的数据库中，使用带有128位随机盐的sha2-512散列。
但是，我目前使用html表单将密码以纯文本形式发布到我的应用程序中，无论是在创建帐户时还是在用户登录时。我知道这是不对的。
我需要在客户端对密码进行哈希处理吗？如果是这样，我该如何考虑当前生成并存储在数据库中的盐？
注意:我这样做是为了学习不要在生产系统中使用
浏览 2提问于2011-10-13得票数 4
回答已采纳
我想在我正在工作的一个网站上添加密码加盐，我发现Spring Security 3.1有一些新功能，可以让这件事变得非常容易。
我有一个关于StandardPasswordEncoder类的问题。它的运行方式与我预期的略有不同。它看起来比自己编写代码更简单，但我认为有一些我不理解的“魔法”。
StandardPasswordEncoder似乎会随机为我在散列中加盐，这很好。但在将原始密码与编码后的密码进行匹配后...在不知道原始salt是什么的情况下如何能够匹配密码？
据我所知，一旦你做了盐，你就不能再回到...所以，如果一开始就有一个随机的salt来生成编码的散列...StandardPas
浏览 0提问于2011-04-14得票数 7
回答已采纳
1回答
我正在研究密码安全性和用户登录，更具体地说，在数据库中存储和匹配咸密码散列。我了解腌制和散列的基本知识，但我不明白如何在尝试登录时对照存储的散列值进行检查，因为在每个散列之前都会随机生成盐分？
public static void test(String password) throws NoSuchAlgorithmException, InvalidKeySpecException {
int iterations = 65536;
char[] passChar = password.toCharArray();
SecureRandom random = Sec
浏览 5提问于2019-09-09得票数 2
回答已采纳
我刚接触到php和cakephp，我正在学习来自cakephp ()的简单身份验证和授权应用教程。一切看起来都很好。
我正在添加一个电子邮件确认，以激活帐户时，用户订阅。在本教程中，密码使用的是响鱼密码哈舍。我用它作为确认链接中的标记。
但我似乎无法将链接令牌与数据库中的密码进行比较.
$passwordHasher = new BlowfishPasswordHasher();
$motdepasse = $this->data['Utilisateur']['mot_passe'] = $passwordHasher->h
浏览 4提问于2014-09-21得票数 0
6回答
假设一个用户注册了你的网站，你散列他们选择的密码，然后使用这个散列作为盐，并用这个盐重新散列他们的密码。
示例：
String hash1 = MD5(password);
String endHash = MD5(hash1 + password);
然后将endHash存储在数据库中。如果我的数据库被压缩了，这能有效地抵御彩虹表攻击吗？或者我是不是错过了一些容易破解的东西？
浏览 9提问于2009-07-13得票数 1
回答已采纳
10回答
我有点搞不懂把盐变成密码的目的。我的理解是，主要的用途是阻止彩虹桌攻击。然而，我看到的实现这个问题的方法似乎并没有真正使问题变得更困难。
我已经看过许多教程，建议将盐用作以下内容：
$hash = md5($salt.$password)
其原因是哈希现在不是映射到原始密码，而是密码和salt的组合。但是说$salt=foo，$password=bar和$hash=3858f62230ac3c915f300c664312c63f。现在，有彩虹表的人可以倒转哈希，并得到输入"foobar“。然后他们可以尝试所有密码组合(f，fo，foo，.oobar，obar，bar，ar，ar)。获
浏览 10提问于2009-01-07得票数 244
回答已采纳
我正在读这篇关于密码安全的，它提到有一些网站会“在传输之前对密码进行哈希处理”？
现在，假设这不是使用SSL连接(HTTPS)，a.这实际上是安全的吗? b.如果是，您将如何在安全的庄园中做到这一点？
编辑1：(基于前几个答案的一些想法)
c.如果您确实在传输之前对密码进行了哈希处理，如果您只在用户凭据数据库中存储了加了盐的哈希版本的密码，您如何使用它？
d.检查一下，如果您使用的是HTTPS安全连接，这些都是必要的吗？
浏览 0提问于2010-06-10得票数 4
回答已采纳
如何在c#中使用Salt和Hash解密密码？Salt和Hash已经存储在Server中。
下面是带有散列、盐和哈希的数据库屏幕截图。
浏览 0提问于2017-04-19得票数 2
回答已采纳
简短的问题:我不想使用bcrypt随机生成的盐类。假设我正在散列的密码是"abcd1234“。在好的过去，盐将是"ab“或"abcd”或"abcd12"，换句话说，盐将是密码的第N个字符，其中N是密码所需的最小长度。那么，如何从密码本身生成有效的bcrypt盐呢？
长问题:我正在使用一个消息传递系统，换句话说，一条消息将在内部发送以进行身份验证，而且出于明显的原因，我不能在此消息中包含纯文本密码。所以流量应该是这样的：
机器A以明文形式获取密码
机器A用bcrypt散列密码
散列(即安全)密码在我的内部消息中发送。
机器B是具有哈希密码数
浏览 2提问于2014-07-18得票数 1
我正在开发一个定制的管理页面，允许简单地修改和插入内容的一个小网站。
它是这样工作的:在domain.com/admin中有一个带有认证表单的页面。当然，唯一知道密码的用户是管理员(不是我，是我的客户)。如果密码正确，服务器会发送允许修改网站内容的html页面。多么?动态信息存储在服务器本地主机上设置的mongodb数据库中。因此，使用简单的CRUD操作，如插入、更新和删除，网站的内容将发生变化。在客户端，我只是简单地向服务器发出相同的"post“请求，这样就可以进行CRUD操作。
我需要确保这个系统的安全。是否需要https进行身份验证？您认为一个简单的admin身份验证密码就足够了
浏览 1提问于2014-10-19得票数 0
新的PHP password API中的函数检查密码是否与散列相对应。散列是由默认使用随机盐和cost = 10的生成的。
我一直认为(尽管我从来没有研究过)，你必须将盐存储在数据库中，然后当你想要验证密码时，使用相同的成本将其与给定的盐进行散列。在不知道盐和成本的情况下，password_verify()如何检查密码？
浏览 0提问于2013-06-02得票数 14
回答已采纳
6回答
我正在设计一个身份验证系统，其工作方式如下：
用户输入密码
盐就产生了。
密码使用漩涡散列。
惠而浦散列密码与普通盐连接
级联版本使用sha1进行散列，并存储在数据库中。
我检查密码是否正确，方法是在应用层上散列密码，然后执行此操作(在MySQL中)：
MySQL
WHERE `Password` = SHA1(CONCAT('$hashedPassword',`Salt`)) AND [..]
目前我的盐是64个字节。这是否足以使字典攻击变得不可行？
我确信sha1有已知的漏洞，但它是我的MySQL (5.1)版本中唯一可以用于数据库层的功能，
浏览 11提问于2012-03-08得票数 15
回答已采纳
3回答
存储盐类和散列密码的安全性
、、、、
如果您看过asp.net成员资格系统的表模式，它们会存储原始密码的散列以及用于生成该密码的salt。请参阅下面的架构，
dbo.aspnet_Membership
ApplicationId
UserId
Password
PasswordFormat
PasswordSalt
MobilePIN
Email
. . .
如果攻击者掌握了数据库，那么从salt和hashed密码破解原始密码不是更容易吗？
在查看了一些记录之后，似乎为每个密码生成了一个新的salt。这有什么意义？
，您会推荐这种方法吗?还是在代码中推荐硬代码常量盐？
相关
浏览 0提问于2011-11-15得票数 12
回答已采纳
5回答
使用随机盐改进密码散列
、、、、
我正在创建一个网站，我试图决定如何加密用户密码，以便将它们存储在SQL数据库中。
我意识到使用简单的md5(密码)是非常不安全的。我正在考虑使用sha512(password.salt)，我一直在研究产生有用盐的最佳方法。我读过许多文章，指出盐应该尽可能地随机增加哈希的熵，这看起来是个好主意。但是：
您需要存储随机盐和散列，考虑到攻击者以某种方式访问了您的散列密码(并试图将哈希转换为纯文本)，这意味着他可能转储了您的数据库，然后访问了您的随机盐类--也就是。
很明显，数据库中哈希旁边的奇怪值是salt吗？如果攻击者可以访问salt和哈希值，这又如何更安全呢？
有人在这方面有专长吗？谢谢!
浏览 8提问于2012-02-23得票数 21
回答已采纳
我以前读过关于如何加密数据和使用相同的密码/密钥登录的文章，但是这个概念在我看来仍然不清楚，尤其是在数据库中存储哪些数据是安全的。
这位伟大的邮报建议了以下两种可能性：
1:您可以使用PBKDF2从密码派生加密密钥，然后使用密钥的普通密码散列(例如SHA-256)作为登录的密码哈希。2:或者，如果您想要格外小心，可以使用PBKDF2从从密码派生的中间密钥派生加密密钥和密码哈希。
我为第二种可能性创建了我的理解图。你认为我做得对吗？你能想出一个更好的方法来实现它吗？
N.b.
我在这里用氪石代替了PBKDF2，但概念是一样的。
盐是由urandom产生的16个随机字节。
📷
我发现PyCrypt
浏览 0提问于2017-08-13得票数 2
回答已采纳
1回答
可能重复：
假设使用正确的密码散列算法并为每个密码生成不同的盐类.
将盐类与密码散列分开存储是否有安全风险？为了前夫。在数据库表中，将密码散列存储在一列中，密码盐类存储在单独的列中？
通过使用特定的算法，我看到了将salt嵌入密码哈希本身的策略。稍后，可以从密码哈希中提取盐分。这样更安全吗？
浏览 2提问于2012-11-19得票数 0
回答已采纳
当我使用generate_password_hash()函数时，我得到一个包含随机盐的加密密码字符串。
>>> from werkzeug.security import generate_password_hash, check_password_hash
>>> generate_password_hash('password')
>>> 'pbkdf2:sha1:1000$3j8Brovx$9acddcd67da9e4c913817231c882a0f757e2d095'
如果我将这个字符串存储到数据库
浏览 1提问于2016-09-03得票数 0
回答已采纳
3回答
我对PHP编程很陌生，并试图掌握哈希和加密的思想，以保护密码、信用卡细节等等。我已经读了很多关于MD5的文章，我想我已经了解了现在的基本知识。我见过一些地方建议我使用SHA2，但我不知道如何实现。
回到我的问题上。我可以理解脚本如何通过散列密码并将值与数据库中的散列值进行比较来判断密码是否正确。我的问题发生在试图理解盐类的时候。如果我有一个动态盐，比如日期(是的，我听说它不好使用)，那么脚本如何知道密码是正确的，因为对于输入的密码和存储在数据库中的密码，salt是不同的。
例如:假设原始密码是在2011年2月21日创建的：
未加盐: mypassword210211
盐散: cbc0a790b
浏览 0提问于2012-01-30得票数 6
我正在浏览Michael Hartl的书(太棒了，免费资源，顺便说一句，谢谢Michael!)我有一个关于加盐和散列密码的问题。给密码加盐的目的是为了防止黑客进行彩虹攻击，如果我理解正确的话，这基本上是一种暴力攻击，如果黑客能猜出所使用的加密类型的话。为了防止这种攻击，在加密密码之前使用盐来随机化密码，但是盐必须与加密的密码一起存储吗？如果是这样，那么如果黑客可以访问数据库并检索加密的密码，那么他们不也可以检索salt并继续进行彩虹攻击吗？
下面是Michael的代码示例。
>> Time.now.utc
=> Fri Jan 29 18:11:27 UTC 2010
>
浏览 3提问于2011-03-07得票数 4
回答已采纳
1回答
我知道密码是以散列形式存储的，因为即使您可以访问密码数据库/文件/.
但是，如果您有访问权限，您就不能将密码哈希替换为您知道相关密码的散列，例如，如果您知道1234有散列‘.’？
浏览 0提问于2022-07-18得票数 0
回答已采纳
8回答
我正在我的网页上为用户密码实现一个salt函数，我想知道一些事情。
salt是添加到密码中的扩展，然后进行散列，这意味着密码以hash(password+salt)的形式存储在数据库中。但是盐在哪里存放呢？盐只是为了使彩虹桌“无用”，对吧？
攻击者不能先建一个彩虹表，然后转换所有的散列，然后移除盐吗？毕竟，盐存储在数据库的某个地方。因此，如果能够找到散列密码，就应该能够找到相应的盐类。在我看来，盐只会使密码变长，迫使彩虹表运行得更长。
那么，如何最大限度地提高盐的有效性呢？除了动态地延长密码的长度之外，我并没有真正看到多个安全原因，但是可以再次将它们转换为字符串中的位。
是我对盐是如何工作正确
浏览 0提问于2013-05-08得票数 43
回答已采纳
5回答
我遇到过描述在数据库中存储“无盐”密码散列的危险，使用所谓的"“可能会受到逆向工程的影响。
它还附带了这个，它基本上需要在用户密码数据库表中存储两个哈希列(而不是传统的一个)。对我来说，这种方法的问题是，我已经有了一个已建立的数据库表，其中包含未加盐的用户密码散列，添加一个新列将需要重新构建数据库。所以在我这样做之前，我在寻找一个不同的替代方案，这是我想出来的。
下面的函数不是简单地计算密码的SHA1散列，而是用一长串伪随机(但一致的)数据填充它，然后计算散列：
byte[] computeSecureHash(string strUserPassword)
{
//RETUR
浏览 4提问于2013-03-20得票数 0
回答已采纳
2回答
我可能错了，但读到有关salt的文章，我想知道，如果我们对数据库中保存的每一个密码使用相同的salt，那么即使在添加salt之后，具有相同密码的用户也不会产生相同的散列，从而减少了添加salt的唯一目的。
如果是真的，我们应该只对数据库使用随机盐吗？
最佳的盐长应该是多少？
还能有人解释盐是如何决定的吗?它是一个仅通过代码添加的预先商定的数据，还是保存在某个地方，每个密码都被一次又一次地访问。
浏览 0提问于2015-04-15得票数 1
1回答
可能重复: 密码哈希加盐+胡椒还是盐够了？ 在一个用户上使用相同的盐分对多个散列是否有风险？
众所周知，所有密码散列都需要加盐，但经常会出现一种争论，即使用哪种盐析策略：
一个普通盐，在远离数据的应用程序中进行硬编码。
每个散列一个盐，存储在哈希旁边的数据库中，从不重用。
这两种方法如何与不同的攻击或泄漏进行比较？一个比另一个更安全吗？
浏览 0提问于2012-08-08得票数 5
回答已采纳
2回答
在PHP中与数据库中相比，在密码散列和salt出现的位置上有优势吗？让这个过程在数据库内部进行似乎是最好的解决方案；因为web服务器和数据库只需要交换密码，而不是盐。
浏览 2提问于2013-03-12得票数 0
回答已采纳
我读过这篇相关的文章：杂散pw随机盐存储，它与我的问题有某种关系，但在问题和答案中，他们提到要将用于散列密码的随机盐存储在数据库中。
现在，我使用bcrypt对密码进行散列，在散列密码时，我会生成一个随机的盐分，并使用它进行散列，但之后我不会存储该盐类，因为bcrypt可以在没有它的情况下进行验证。这是一种好/坏的做法吗？如果是，为什么？
浏览 0提问于2018-05-25得票数 1
回答已采纳
1回答
在django文档中，django将密码创建为字符串algo$hash
其中algo默认情况下为pbkdf2，hash为密码字符串的sha256散列。
在一些中，我读到使用随机salt创建的安全密码，然后将其存储在每个user.This的数据库中，这使得试图使用rainbow tables.But破解密码的恶意用户很困难当我检查我的django项目的auth_user表时，我只能为每个用户找到以'pbkdf2_sha256$'开头的单个字符串。我找不到任何存储的盐。
浏览 4提问于2013-02-22得票数 1
回答已采纳
1回答
我开始使用MD5进行密码加密，但我意识到一旦数据库被攻破，可以使用十几种不同的工具轻松地解密密码。
我想知道做一个有不同阶段的密码加密实现是否实用。
例如，我输入像"123“这样的密码，然后它会像这样转换: MD5，然后传递SHA加密，然后传递另一个MessageDigest。以此类推。WOuld这是否增加了密码被解密时的安全性？这是给外面的保安们准备的。
浏览 3提问于2015-10-11得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
