Как хранится соль пароля?

Question

[cypselusmurarius]

Допустим у нас есть хэш-функции, через которые проходят пароли и добавляется "соль". У одинаковых паролей в базе будет разная соль, где находится база "соли", и есть ли она вообще, или же есть специальный алгоритм, находящий пароль из хэша с солью. Заранее спасибо.

Answer 1

[Saboteur]

Соль нужна исключительно для одного случая - чтобы нельзя было подобрать пароль по известной базе хешей.

Если при генерации хеша, используется каждый раз новая соль - она вполне может лежать открытым текстом рядом с хешом, или прямо в нем (несколько символов в начале, в конце или середине). Это позволяет для одинаковых паролей создавать разные хеши, для простых паролей создавать непростые хеши, и создает невозможность создания радужной таблицы под конкретный ресурс.
ppppp.ssssss -> hhhhhhhhhhhhhhhhhsssss (p - pass, s - salt, h - hash)
ssssspppppppsssss - > hhhhhhhhhhhhsss или sssshhhhhhhhh или даже shshshshshhhhhhhhhhh

Бывает и другая схема, когда все хешируется с конкретной мастер солью (например пароли в разных форумных движках), что позволяет хранить хеши отдельно от соли (одна соль на все хеши в config.php, и сами хеши в базе данных).
Можно усложнить второй вариант, добавив базу из нескольких солей, и каждый раз перебирать их все на стороне сервера. А в базе будут хранится хеши, в которых пароль с солью захеширован, но в самом хеше соль не прописана, и какая была использована для конкретного хеша - непонятно. Повышает безопасность, если утекли только все хеши.

Можно совмещать первый и второй вариант, можно параноить по-разному.
ssspppppppsss -> hash(hash(hash(sssmastersalt.hhhhhhsss)+hash(hhhhhhhhhsss))
В общем зависит от алгоритма и желания усложнить.

Comments

[cypselusmurarius]

Спасибо за подробный ответ.

[sorry_i_noob]

Если при генерации хеша, используется каждый раз новая соль - она вполне может лежать открытым текстом рядом с хешом, или прямо в нем (несколько символов в начале, в конце или середине). Это позволяет для одинаковых паролей создавать разные хеши

Разные хеши - пока я не вычту эти "несколько символов" из готового хеша. Потом они станут одинаковыми. Верно?

[Saboteur]

sorry_i_noob,
Ну хеширование же производится ко всей строке (saltpassword) а не только к (password)
Если убрать salt, то всю строку (password) нужно перехешировать целиком. Нельзя от хеша отколоть кусочек, он отвечает за строку целиком, а не за первые несколько символов

Answer 2

[АртемЪ]

Как правило соль хранится в БД вместе с логином, и хэшем.
Хотя иногда не хранится, а генерируется на основе каких то данных пользователя.

или же есть специальный алгоритм, находящий пароль из хэша с солью.

Смысл этого высказывания мне непонятен.

Comments

[cypselusmurarius]

"Хотя иногда не хранится, а генерируется на основе каких то данных пользователя." вы уже ответили, спасибо)