Повышает ли безопасность соли с помощью хеширования PHP 5.5

Question

Я знаю, что новая функция хеширования PHP 5.5 не должна использовать указанную пользователем соль, но повысит ли она безопасность? Я делаю немного чтения и, насколько я понимаю, функция хэширования использует случайную соль каждый раз, когда она может извлекать из хеш-значения, когда приходит время проверить хэш. Но может ли быть какое-то преимущество для создания собственных солей и их использования? Любой ущерб?

Answer 1

Я знаю, что новая функция хеширования PHP 5.5 не должна использовать указанную пользователем соль, но увеличит ли она безопасность?

Предполагая, что вы говорите о password_hash, то нет. Он обладает всей солью, в которой вы нуждаетесь, и не будет никакого преимущества добавлять больше.

Без ущерба, кроме того, что больше кода = больше сложности = больше вероятности ошибок.

Answer 2

У вас здесь несколько недоразумений.

Как только хеш генерируется, вся идея в том, что это полностью один способ. Это означает, что из дайджеста сообщений безопасного алгоритма хэширования нет способа узнать, что такое соль. Например, я видел, как люди хранят соль в другой колонке.

Соли предназначены для создания энтропии в вашем наборе сообщений. И для предотвращения атак с использованием таблиц Rainbow. Соль добавляет элемент случайности в дайджест сообщения, помимо того, что может сделать алгоритм и исходное значение.

Недостаток попыток быть умным и использовать собственный хэш - это осознание того, что вы, вероятно, не так умны, как эксперты по безопасности, которые написали доступные вам API. Серьезно, когда дело доходит до безопасности, вы не можете использовать это против своего ума. Человеческий мозг склонен к ошибкам; поэтому мы работаем в командах. И команда экспертов сделала для вас случайные хэш-генераторы. Серьезно, используйте их.