Blizzardでの最近のデータ侵害に照らして、ブルートフォースおよびソルトハッシュパスワードストレージについて質問したいと思います。
Ars Technicaには、 Blizzardが保存するソルトハッシュパスワードでさえも短い順序で解読される可能性がある理由についての優れた記事があります。
ソルトとハッシュが使用されているため、ブルートフォース攻撃が「複雑な」パスワードを解読する唯一の実行可能な方法であることがわかっています（辞書/プレーンワードのパスワードは簡単です）...しかし、ArsTechnicaは広大な計算能力の向上（ローカルとクラウドの両方）により、ブルートフォースクラッキングがより実行可能になります。
Webサイトの場合、Jeff Atwoodは、認証試行の遅延を強制すると、ブルートフォース攻撃を現実的に阻止できると述べています。しかし、Blizzard違反の場合、ハッカーはDBを物理的に制御できるため、そのようなアクセシビリティ制限を課すことはできません。
その結果、ブルートフォース攻撃者が直面するエントロピーが増加するため、ジェフはパスフレーズも推奨します。しかし、これも、計算能力が向上し、アクセスしやすくなるにつれて、最終的には効果的に衰退します。
したがって、問題は次のとおりです。計算能力の向上によって脆弱ではない、どのようなブルートフォース保護スキームを実装できますか？
2段階認証がよく検討されますが、これらのアルゴリズムの一部も壊れていると聞いています。物理オーセンティケーターには静的なアルゴリズムがある可能性が高いため、一度クラックされると、すべてのユーザーが脆弱になります。
認証DB全体に適用されるスケジュールされたローリングソルトはどうですか？これにより多くのオーバーヘッドが追加されますが、物理DBがリークされた場合でも安全であるように思われます。