security - ソルトとパスワード - 接頭辞または接尾辞

Question

これは、ハッシュ化する必要があるフレーズのソルティングに関する質問です。

ソルトをフレーズの前に付けるか後付けする方が安全かどうか疑問に思っていましたか? ソルト + フレーズまたはフレーズ + ソルト

私の質問は、MD5sのこの投稿に対するこのコメントから来ています。著者のコメントの背後にある理由を理解しているかどうかはわかりません。

Answer 1

塩を前に付けても後ろに付けても違いはありません。

次の要因はセキュリティに影響しますが、

1. あなたのソルトは非公開ですか (そうであれば、それはどの程度非公開ですか?)。よりプライベートなほど良い。これは、データベースにソルトを保存することを避けることができれば、たとえデータベースが侵害されたとしても、ブルート フォース攻撃に対してシステムを安全にすることができることを意味します。
2. あなたのソルトはソルトされた値ごとにランダムですか? これは、データベースが侵害され、salt がデータベースに保存されている場合に、レインボー テーブル攻撃を防ぐのに役立ちます。注: 保存されているパスワードが十分に長い場合、ブルート フォース攻撃の影響を受けない可能性があります。
3. あなたの塩は十分な長さですか？ソルトが長ければ長いほど安全です。

Answer 2

ソルトをいつ消化するかは問題ではありません。プレフィックス、ポストフィックス、インフィックスはすべて異なるハッシュを生成しますが、レインボー テーブルやその他の事前にハッシュされた辞書攻撃を打ち負かすという同じ目的を達成します。

コメントは、一般的なハッシュではなく、特に MD5 の脆弱性に関係していると思います。詳細はわかりませんが、同じハッシュを生成する 2 つのプレフィックスを見つけることに関係しています。

Answer 3

誰かが塩の使用について質問するとき、それは彼らが最初にすべきではないことを（再）発明するのに忙しいからだと思います. 質問に基づいて、HMAC を使用することをお勧めします。

Answer 4

技術的には、ソルトが一意であり、簡単に推測できない限り、問題ではありません。私がしたように、塩を保管するのを間違えないでください.

文字列を「ソルティング」する目的は、MD5 ハッシュよりも少し個人的でユニークな方法で文字列をスクランブルすることです。それがどのように機能するかを知っているのはあなただけである限り、それを行う正しい方法も間違った方法もありません. どちらの方法でも結果が得られます。つまり、生成された MD5 ハッシュがレインボー テーブルに対応しないようにして、パスワードを簡単に解読できるようにします。