ハッシュ化だけではもう古い ソルト&ペッパーという技術

昨今、生成AIの発展とともに、情報の不正な取得を試みる攻撃パターンが急速に多様化しています。このため、企業は残念ながらいつか情報漏洩するという前提で必要な対策を行う必要があります。 一般的なウェブシステムにおける暗号化の限界点 そのため普遍的に用いられる技術の一つが「暗号化」ですが、ウェブシステムの場合完全な対策は難しいのが実情です。例えばデータベースを暗号化しても、フロントエンドなど、システムのどこかに必ず暗号を復号できるノードが存在します。フロントエンドに侵入されれば、データベースの暗号化だけでは情報漏洩を防ぐことは困難です。TDE（Transparent Data Encryption：透過的データ暗号化）という、高価な専用ハードウェアを用いて特定のカラムを暗号化する手法もありますが、それにしてもフロントエンドに侵入されるケースを考えると復号化は懸念されます。 ハッシュ化による対策

[prograti]

徳丸先生の解説 / "ソルト付きハッシュのソルトはどこに保存するのが一般的か" https://qiita.com/ockeghem/items/d7324d383fb7c104af58

[ku__ra__ge]

怪しい知識が下手に丁寧に書いてあるので厄介な記事。『やたらと計算に時間がかかるハッシュ関数を使う、という手法』なんかこれも、ストレッチングを間違って理解してるんじゃないか……？

[Listlessness]

応用情報令和6秋の午後問題https://www.ipa.go.jp/shiken/mondai-kaiotu/2024r06.htmlではソルトはハッシュ化したパスワードと同じデータベースに保存、レインボーテーブル攻撃に備えてペッパーは別の場所に格納しておくという話だった

[hiro7373]

古いとかじゃなくて昔から常識なのでは。暗号化じゃないんだし。ソルトはユーザーごとに異ならなければならないのに、単一文字列でソルトと思ってる人が一定数いた気がするが、それはペッパー

[turanukimaru]

この記事も転載…https://blog.cloudnative.co.jp/26789/。別の記事は転載元が違ってどちらも内容が怪しい…https://b.hatena.ne.jp/entry/s/zenn.dev/kameoncloud/articles/2c739be7c5aaf5。このアカウントは AI 生成記事の収集でもしてるのか？

[ockeghem]

ブクマコメントが盛大に燃えていますね。たとえばレインボーテーブルの説明は、これだとただの逆引き表で、レインボーテーブルのものではない

[yojik]

以前のREST設計を見て以来AI記事だとずっと思ってたけど、AIにしても質が低すぎる。

[TakamoriTarou]

次は味の素を入れて味塩コショウになるんですか？（違います

[napsucks]

ソルトなんて昔のUNIXにもあったし何十年も前から使われてるでしょ。

[nmcli]

本人の X のポストで "ソルト&ペッパーという技術は今後必ずスタンダードになると思っております" という発言を見かけたので、ほんとに最近知った可能性がある

[daira4000]

何年前の記事かと思ったゾ / ソルトとペッパーが必要な理由を理解しないで形だけ見てるとこういう記事になりそう

[azzr]

社内にセキュリティにちゃんと詳しい人はいるんだろうし、理解があやしい記事を出す前にチェックしてもらえばいいのに。

[nabinno]

間違い探し。

[youichirou]

ソルトとペッパーはたまに逆に覚えがち

[sirobu]

https://x.com/kameoncloud 著者はたぶんこの人。ツイート見る限りチームリーダーやってるっぽいけどこの認識で大丈夫か。https://ascii.jp/elem/000/004/155/4155765/ 元AWS現Cloudflareの人らしい

[noonworks]

無断転載というか、本人なのかも？転載元らしき2つの記事の著者が同一人物だし、アカウント名が名前と似ている/普通にbcryptかArgon2使いましょう。

[tokuniimihanai]

ソルトやペッパーがいつからあると思ってるんだよ。

[nyokkori]

ハンバーガーのセットみてえな名前だな

[suka6411144]

レインボーテーブルの説明が酷い/しかもこれ無断転載なのか…

[uunfo]

ソルトはハッシュと一緒に保存するのが普通

[Shinwiki]

“2025/04/05に公開” ？？？なにこれ？？？

[auto_chan]

このまえAI君に、このレコードはUser=xxxx, Pass=yyyyだと判ってます。ハッシュ化アルゴリズムを特定して。ってお願いしたらこれにこの塩をまぶしてるよって即答してくれて助かった。ペッパーされたらだめじゃった。

[knjname]

PINコードはbcrypt相当しても総当たりで解けるので、これについてはちゃんと解かれたら困る用途に使わないとか、ペッパーは必要になると思う　ただディスクに一切フットプリント残さない暗号化キーのロードは結構面倒

[ch1248]

なるほど

[xlc]

暗号とハッシュを混同してしまうIT技術者がいるのだから、ハッシュ値と乱数のタネを混同してしまうネット麻雀打ちが多数いることも驚くには当たらない。

[mayumayu_nimolove]

ハッシュドビーフの作り方

[hogetax]

2025年の記事じゃねぇだろ...全部ひどい

[thekoruku]

ソルトってハッシュ化パスワードと一緒に保存しちゃダメなの？知らなかった

[dorapon2000]

“またハッシュ化された値とソルトが同時に漏洩しないように、別の場所に保存するという対策も推奨されます。”