Как использовать соль в шифровании?

Question

[Alexeevich]

День добрый.

Изучаю web, сделал страницу регистрации пользователя.
На сервере "супер_скрипт" выполняет хеширование\соление пароля после чего в БД записывается хеш, в отдельный столбец записываю соль.

А как пользователя авторизовать? Что с его логином и паролем делать?
Брать пароль который он прислал обрабатывать его тем же "супер_скриптом" но вместо соли использую не случайное значение а то что записал в БД при регистрации пользователя?

Запутался (

Answer 1

[Максим Кудрявцев]

Имеем в базе

• соль
  
• пароль
  
• имя юзера
  

Шифрование пароля выглядит так:
sha1( sha1(соль) + sha1(пароль) )
знак "+" в моем контексте есть объединение строк.

При регистрации ты генерируешь соль - случайные 6 букв/цифр. В БД соль хранится в открытом виде. При авторизации - соль достается из БД.

Как вариант, соль для каждого юзера можно не генерировать, а задать где-нибудь константой в конфигурационном файле.

Answer 2

[Alexeevich]

Функция у меня есть...бд с паролем, логином и солью тоже. Что делать с солью после регистрации пользователя я не понимаю))

Answer 3

[Владимир Мартьянов]

А смысл хранить в одной таблице имя, хэш пароля и соль? База с солью позволяет успешно брутить пароли :-)

Comments

[Alexeevich]

Да дело не в том где она находится)) я ее и на ФС могу в шифрованном файле хранить) вопрос в том как эту самую соль использовать ПОСЛЕ регистрации пользователя, т.е.при его авторизации?

[Владимир Мартьянов]

Alexeevich: От того где она находится зависит ее необходимость :-D Да, слив базы при хранении соли на диске позволит сразу понять что соль не динамическая, если злоумышленники могли создать несколько аккаунтов. А как использовать - SHA(SHA(salt+pass)) например. Или как выше написали.

[Alexeevich]

Спасибо)))

Answer 4

[Андрей]

А если вдруг интересует перфекционизм, то рекомендую - Salted Challenge Response Authentication Mechanism (SCRAM) RFC5802 - алгоритм защищен :
- от перехвата на сетевом уровне;
- от компрометации хранимой базы паролей;
- от вычисления rainbow-таблиц;
- приемлемо - от полного перебора.

Comments

[Alexeevich]

Спасибо, но мне до такого пока далековато)) приму на заметку, буду читать