パスワードのハッシュ値を保管するときのsaltの作り方

flat/京山和将@昼夢堂 @flat_ff パスワードハッシュ値のsaltって低品質の乱数由来でもいいんだろうか？ユーザーごとに分けろって話はあるけど、精度はあまり問題にならない？見つけた範囲では、/dev/urandomつかってるものから、平文パスのmd5を使ってるものまでさまざま。 2011-01-13 10:48:12

[harukeki]

“ません。最低限の要件は、短くないことと、ユーザ毎に違うことです。パスワードを元にしたSaltは後者を満たし”

[sattomi]

ハッシュ値の決め方

[kbkbkbkb1]

ソルトの作り方

[k-holy]

パスワードのハッシュ値生成時のソルトについて

[pbgreen]

saltは短くしない。ハッシュ値にアルゴリズムを示す番号を追加するとbetter。そういえば、moodleの設定ファイルで、サイトの秘密の固定長の文字列が複数バージョン同時に入れられるようになってたのを思い出した

[youhey]

短くないことと、ユーザ毎に違うこと、予測不可能性はいらない

[hidehish]

見てる:

[genb]

か[あとで読む]

[shimooka]

ハッシュ値のsaltについて

[ukky3]

Windowsでユーザー名をソルトに使用している例がありますね。Cached Credentialsと呼ばれるドメインユーザーのパスワードハッシュが確かそうです。

[lizy]

saltを変えることによるメリットが特に思いつかない