Любое значение при засовывании уже «сильного» пароля?

Question

Есть ли какая-либо польза от соления паролей для сильного, уникального (не используемого для других приложений пользователем) пароля?

Соль (как я знаю) защищает от таблиц радуги, созданных с помощью словаря или общих паролей. Он также защищает от злоумышленника, замечающего пользователя с тем же хэшем в другом приложении.

Видя, как сильный пароль будет (скорее всего) не появляться на сгенерированном радужном столе, а умный пользователь будет использовать уникальные пароли для каждого приложения, которое он хочет защитить, помогает ли солят уже «умный» пользователь?

---

это теоретическое. У меня нет желания прекратить соление.

---

по существу, не соль просто стать частью пароля? это просто происходит от гейткипера, а не от пользователя.

Answer 1

Если вы можете гарантировать, что все пользователи никогда не будут повторно использовать пароли, и что ни один из их паролей никогда не будет иметь форму, которую можно вычислить, чтобы предварительно вычислить встречные хеши, то соль действительно немного больше.

Однако соль также не требует дополнительных затрат; в то время как эти помещения очень трудно гарантировать, и стоимость их неправильной работы высока. Держите соль.

Answer 2

Помимо радужных столов, есть также инструменты bruteforce для разрешения хэша. Это не препятствует разрешению несозданных хэшей. Этот пароль занимает гораздо больше времени. Соль, безусловно, все же будет иметь смысл.

Answer 3

Такое ощущение, что вы хотите сделать предположение, а затем основывайте свою безопасность на этом предположении. Когда вы делаете ошибку, по какой-то причине ваша безопасность становится плохой.

Итак, как ваше предположение (что надежные пароли не нуждаются в солевом) становится недействительным?

1) С течением времени образуются большие, более полные радужные таблицы. Это то, о чем я буду беспокоиться, если до вашего пользователя до выберите надежный пароль. Они могут подумать, что они хорошо поработали, и вы и ваша проверка безопасности могли бы подумать, что они тоже хорошо поработали, но потом выяснилось, что их мыслительный процесс, создавая пароль, легко дублируется путем наложения нескольких слов и цифр вместе.

2) Если пользователи не могут выбрать свой пароль, ваш сильный процесс генерации пароля может быть вызван ошибкой или чем-либо еще, окажутся не такими сильными, как вы хотите.

3) Ваш пользователь может быть слишком ленив, чтобы создать уникальный сайт/сильный пароль! Это, безусловно, самая важная проблема. Вы действительно хотите создать систему, которая может использоваться только криптографическими экспертами? :)

Answer 4

Радужные столы, безусловно, не ограничены паролями слова или тому подобным. Большинство из них, как правило, включают в себя каждую комбинацию символов до некоторой максимальной длины - в конце концов, это одноразовая стоимость для поколения. Используют ли ваши пользователи 12 + паролей персонажей? Вряд ли.