Czy haszowanie haseł to to samo co ich szyfrowanie?

Nie, a w przypadku haseł właściwym wyborem jest haszowanie. Szyfrowanie da się odwrócić kluczem, więc ktoś, kto ukradnie zaszyfrowane hasła razem z kluczem, odzyska wszystkie hasła. Skrótu nie da się odwrócić, więc system przechowuje tylko skrót i porównuje go przy logowaniu. Zwykłe, szybkie funkcje skrótu, takie jak SHA-256, to nadal zły wybór dla haseł, bo napastnik, który ukradnie bazę, może sprawdzać ogromną liczbę prób na sekundę na kartach graficznych. Używaj funkcji stworzonej dla haseł, celowo wolnej i z losową solą dla każdego użytkownika: Argon2id, scrypt lub bcrypt, jak zaleca przewodnik OWASP dotyczący przechowywania haseł. Jeśli dostawca lub stara aplikacja przechowuje hasła zaszyfrowane albo zahaszowane samym MD5 czy SHA-1, potraktuj to jako ustalenie do naprawy. Dla własnych pracowników większe korzyści leżą gdzie indziej: uwierzytelnianie wieloskładnikowe (MFA), menedżer haseł i blokowanie haseł używanych ponownie. Czujnik sieciowy nie widzi, jak serwer przechowuje hasła; to sprawdza się w przeglądzie aplikacji.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy