uu59のメモ | Linkedinに学ぶウェブサービスのパスワード管理手法(saltとストレッチング)

Linkedinがパスワード漏洩事件を起こしたわけですが、saltもストレッチングもせずベタにsha1したものを使っていたようです。様々な立場から様々な意見が考えられますが、ここではサービス運営者としてsaltやストレッチングをしていれば何がどうなっていたのかという点を考えていきます。 ちなみに、なんでもかんでも脆弱なパスワードを設定するユーザーが悪いと言うのはサービス提供者による責任転嫁だと考えていますので、提供者はたとえユーザーに脆弱なパスワードを設定されたとしても、可能な限りユーザーのパスワードが奪取される危険性を小さくする努力をすべきでしょう。 SHA1の計算 hashgpuによると、どこのご家庭にもあるような数千円のGPUを使えば秒間23億回の試行が可能らしいです。 ASCIIコードのうち制御文字以外の印字可能文字は95種あるので、任意の桁数のパスワードを解析するのに総当たりでど

[kuwalab]

コンパクトに要点がまとまっている。

[nakimura]

パスワード管理手法。SHA1+ユーザ毎に異なるsalt+ストレッチング

[raimon49]

sha1(user_input + db_stored_salt) * ストレッチングの必要性について。「123456」を例に。