ストレッチング採用の理由 | 水無月ばけらのえび日記

更新: 2011年5月30日10時50分頃 徳丸さんに誘われ、徳丸本 (www.amazon.co.jp)レビュアー中心に6名ほどで飲み食いしながら四方山話をしたり。 翌日に徳丸さんはこんなつぶやきをしておられますが、 同じく昨日の一言。「パスワードのストレッチングについては効果を疑問視する声もあったが、『教科書』にベストプラクティスとして載っている以上、最低限そこまではやるべきと主張して、徳丸本の通りに実装することにした」<こういう声は嬉しいですね 以上、http://twitter.com/ockeghem/status/73526372642988032 より これは私の発言ですね。せっかくなので、もう少し流れを補足しておきます。 サーバ側でパスワードを保存する際、パスワードそのものではなく、ハッシュ関数を通したハッシュ値を保存することが良く行われます。これによって、たとえDBの値が

[tridentfield]

これだけで採用には十分な理由。 "「十分な対策を行っていたか?」と問われたときに、「よく知られた手法があるのに、それを採用していなかったではないか」と責められると厳しいでしょう。"

[burnworks]

『「十分な対策を行っていたか?」と問われたときに「よく知られた手法があるのにそれを採用していなかったではないか」と責められると厳しい/「有名書籍に肯定的に書かれている」ということ自体が採用の理由に』

[realbasic]

メリット：信頼感 + 全て漏れたときに元のパスワードを特定されるまでの時間を稼げる デメリット：CPU負荷が上がる

[sunaoka]

技術的には要・不要の決断ができなかったので、政治的な理由で決定に至った

[hiro_y]

パスワードのストレッチング、「ハッシュ関数を何度も使った結果を保存するという手法です。」

[kits]

ストレッチング: 「ハッシュ関数を何度も使った結果を保存するという手法」

[n2s]

「「有名書籍に肯定的に書かれている」ということ自体が採用の理由になっています」なるほど。

[higher_tomorrow]

これまで、ソルトつきのハッシュで実装していた。非機能要件次第というところはあるが、次からはストレッチングも、つけようと思う（実装の手間はたいしたことないので）。

[MinazukiBakera]

すみません、誤解を招く記述だったので末尾付近すこし追記しました。 RT @ockeghem: #wasbook / ストレッチング採用の理由 | 水無月ばけらのえび日記

[hidehish]

見てる:

[ockeghem]

太田さんは『自分がこのガイドラインに従うとしたらどうか』という視点でレビュー頂いたと感じており、とてもありがたく思います #wasbook

[zorio]

その有名書籍の内容をレビューする際には、そういう政治的な理由からは自由な立場で議論が出来たのではないのかな。

[raimon49]

＞何かセキュリティ事故が起きて、「十分な対策を行っていたか?」と問われたときに、「よく知られた手法があるのに、それを採用していなかったではないか」と責められると厳しいでしょう。つまり、「有名書籍に肯定