Урок Linkedin: Как лучше всего хранить пароль?
Это не новый вопрос. Но, как мы знаем, LinkedIn был взломан. И 6,5 м уникального хеш-пароля, без соли, просочились в Интернет. Алгоритм хеширования пароля SHA1.
Hashcat выпустил специальную версию для взлома утечек хеш-пароля LinkedIn: https://twitter.com/hashcat/status/210399541353132032
А результат hashcat можно найти здесь: http://erratasec.blogspot.com/2012/06/linkedin-vs-password-cracking.html
Это восстановило около 40% обнуленных паролей, или 1,4 миллиона из 3,7 миллиона. Этого следует ожидать, так как это пароли, которые хакер уже нашел, поэтому мы должны легко их найти.
Я не криптоаналитик, я просто парень, который заботится о безопасности в целом. Как мне известно, MD5 и SHA1 сейчас не являются сильным алгоритмом хеширования. Даже SHA-512 не является хорошим алгоритмом для сохраненного пароля, он разработан для быстрой причины. Хранение пароля не должно использовать быстрый хэш.
Итак, каков наилучший способ хранения пароля? Какой алгоритм следует использовать? Соленого хеш-пароля достаточно для взломщика с мощным компьютером (и облачным вычислениям тоже)?
Благодарю.