การใช้ bcrypt(md5(pwd) + salt) ถือเป็นแนวปฏิบัติที่ไม่ดีหรือไม่?

แม้ว่าการใช้ $storedPassword = bcrypt(md5(pwd) + salt); ในแอปพลิเคชันของคุณจะใช้งานได้ดีเลิศ แต่ด้านความปลอดภัยก็มีประโยชน์เพียงเล็กน้อย นอกจากนี้ยังไม่จำเป็นต้องเพิ่มเกลือของคุณเองในการเข้ารหัส bcrypt จะดูแลเรื่องนั้นภายในและคุณไม่จำเป็นต้องเก็บเกลือไว้ที่ไหน

ผู้โจมตีกำหนดเป้าหมายลิงก์ที่อ่อนแอที่สุด และหากเซิร์ฟเวอร์อื่นใช้ md5 พวกเขาสามารถโจมตีไซต์นั้นเพื่อรับรหัสผ่าน ไม่สำคัญว่าคุณจะรักษาความปลอดภัยให้แข็งแกร่งแค่ไหน

แต่แล้วอีกครั้ง การปิดประตูหนึ่งยังดีกว่าปล่อยให้ทุกอย่างเปิดอยู่

สิ่งนี้ลดความปลอดภัย

แฮช MD5 มักจะทำให้รหัสผ่านสั้นลง ซึ่งหมายความว่าผู้โจมตีจำเป็นต้องวนซ้ำพื้นที่ MD5 เท่านั้น แม้ว่าคุณจะพิจารณาว่าพื้นที่ MD5 มีขนาดใหญ่ แต่ก็เป็นเรื่องเล็กน้อยที่จะแมปพจนานุกรมคำลงไป สิ่งนี้ไม่เพิ่มประโยชน์ใด ๆ แต่อาจลดพื้นที่ลงได้

เกี่ยวกับการชนกัน: คุณไม่ชนะลอตเตอรีกาแล็กซี่ด้วย bcrypt อย่างไรก็ตาม สำหรับ MD5 สิ่งต่างๆ มีความแน่นอนน้อยลงเล็กน้อย ซึ่งเป็นอีกเหตุผลที่ควรหลีกเลี่ยง

คุณไม่จำเป็นต้องเติมเกลือ bcrypt จะเพิ่มเกลือที่ดีและมีเอกลักษณ์ในตัวมันเองอยู่แล้ว หากคุณใช้ bcrypt อย่างถูกต้อง คุณไม่จำเป็นต้องคิดถึงเรื่องเกลือเลย

ค่อนข้างแปลกที่แหล่งที่มาของคุณส่งเฉพาะแฮช MD5 เท่านั้น ฉันมักจะแนะนำให้ส่งรหัสผ่าน (ข้อความธรรมดา) ผ่านการเชื่อมต่อที่เข้ารหัส:

• หากการเชื่อมต่อถูกเข้ารหัส การส่งเป็นข้อความธรรมดาจะปลอดภัย
• หากไม่ได้เข้ารหัส ก็ไม่สำคัญว่าคุณจะแฮรหัสผ่านก่อนหรือไม่ ผู้โจมตีสามารถอ่านได้จากเครือข่ายอยู่ดี