おさかなラボ - passwordのより安全な保管方法(saltとは何か)

UN*Xパスワードの保存方法を知っている人には常識のはずだが、最近パスワードの保存方法について誤解が散見されるように思うのでこのエントリを立てた。 パスワードはMD5などでハッシュを取って保存する(DES等を使う場合もある)方法が広く使われている。その際、パスワードをそのままハッシュすると危ないので、プログラム側でMD5を取る時に、ランダムな定数を混ぜ、これのハッシュを取ることによってハッシュの安全性が増加する。つまり以下のようなコードになる $passwd = Digest::MD5::hex_md5($user_id . ‘woeifoweij’); # これで大丈夫(?) これで簡単にクラックすることはできない。 ……という理屈は正しいとは呼べない。パスワードに付加する文字列をsaltと呼んだりするが、これでは充分とは言えない。saltの利点はそれだけではないのだ。 このク

[shoma]

よい説明

[beakmark]

salt について復習

[kmachu]

パスワードに付与する文字列として、saltの代わりに固定文字列を使った場合の危険性と具体的な攻撃手法について。 / saltに加えてスクリプト側でランダムな固定文字列を付与するという案。