エフセキュアブログ : いや、パスワードをしっかりSaltingしても十分ではない、CUDA Accelerated PBKDF2を使用すべし

いや、パスワードをしっかりSaltingしても十分ではない、CUDA Accelerated PBKDF2を使用すべし 2012年06月12日19:52 ツイート fsecure_corporation ヘルシンキ発 by：ジャルノ・ネメラ 私は最近のパスワードのリーク（LinkedIn、eHarmony、Last.fm）に関するオンラインの議論を追ってきたが、salt値がパスワードを安全にするという強固な信念を持つ開発者が、まだ大勢いるようだ。 攻撃者がsaltを有していたとしても、攻撃は実質上可能ではない。何故なら14文字の鍵空間をチェックするには非常に時間が掛かるためで、よってsaltにより安全が保たれる、というのが一般的な推論のようだ。小さい子供がテディベアを抱きしめるように、デベロッパはsaltを握りしめていれば、すべての悪しきクラッカーを寄せ付けずにいられると考えている、と言

[bopperjp]

単にsaltを長くしても効果が薄い。そもそもハッシュ計算が遅くなる方法を採って、CUDA使えと。パスワード管理も大変だ。。

[kamei_rio]

「大部分のユーザは決して強いパスワードを使用しないのだから（中略）ユーザごとに一意のsalt値を使用すべき」なるほどう