thắc mắc Hỏi về cách lưu mật khẩu trong database

• Không nên hash password bởi những thuật toán đơn giản.
• Nên tạo thêm một random salt rồi chuỗi salt này sẽ được hash cũng với password để phòng chống rainbow attack (tức là mình sẽ lưu trữ hash password và salt trên database)

• Nếu hacker mà đã lấy được db rồi tức là cả hash password và salt đều bị lộ, như vậy thì đâu có chống lại được rainbow attack ?
• Em thấy có vài người suggest việc hash password gồm 3 thành phần là password + salt random + secret key (được lưu trên server) như vậy sẽ an toàn hơn vì hacker phải lấy được cả server là db mới có thể đọc được pass user, liệu cách này có an toàn hơn không ạ ?

hieple97 said:

Chào các bác em mới có một dự án kiểu dạng trang mạng xã hội, em đang có một vài thắc mắc về việc mình lưu mật khẩu trong database như thế nào cho an toàn.
Em có xem qua clip của ông bác này:

Trong clip theo em hiểu đại ý ổng nói là:

• Không nên hash password bởi những thuật toán đơn giản.
• Nên tạo thêm một random salt rồi chuỗi salt này sẽ được hash cũng với password để phòng chống rainbow attack (tức là mình sẽ lưu trữ hash password và salt trên database)

Em có vài thắc mắc bác nào có kinh nghiệm góp ý giúp:

• Nếu hacker mà đã lấy được db rồi tức là cả hash password và salt đều bị lộ, như vậy thì đâu có chống lại được rainbow attack ?
• Em thấy có vài người suggest việc hash password gồm 3 thành phần là password + salt random + secret key (được lưu trên server) như vậy sẽ an toàn hơn vì hacker phải lấy được cả server là db mới có thể đọc được pass user, liệu cách này có an toàn hơn không ạ ?

Mong các bác cho ý kiến.

Click to expand...

Mob Psycho said:

dùng bcrypt để mã hóa nhé thím

Click to expand...

MrStar1102 said:

1. Rainbow attack là phải có pre-computed table chứa hashed của các string tương ứng, nhưng giờ kèm salt thì sao rainbow attack được bác? Hay bác nhầm rainbow attack với bruteforce?
2. Chắc chắn là an toàn hơn rồi, bạn có thể tìm hiểu thêm hash + salt + pepper, khái niệm cũng tương tự.

Click to expand...

merciless said:

Nó đã lấy được db thì quan tâm làm quái gì tới pwd mã hoá ntn nữa.

Click to expand...

merciless said:

Nó đã lấy được db thì quan tâm làm quái gì tới pwd mã hoá ntn nữa.

Click to expand...

merciless said:

Nó đã lấy được db thì quan tâm làm quái gì tới pwd mã hoá ntn nữa.

Click to expand...

merciless said:

Nó đã lấy được db thì quan tâm làm quái gì tới pwd mã hoá ntn nữa.

Click to expand...

Kân team v3 said:

1 người có vài chục acc khác nhao, nếu ko xài password manager thì thế lào cũng bị trùng/na ná nhau. Mà lưu password thì phải mặc định là sẽ bị hack. Giả sử cái shop rác có password trùng với account khác giá trị hơn, shop rác bị hack mà ko hash pw cho đúng thì bị lộ raw password, trùng với account giá trị hơn thì béo thằng nắc cơ

Nếu ko có gì bảo đảm shop rác lưu password đúng thì thằng lào dám tạo acc shop rác nữa

mà ko ai xài web của shop nhỏ lẻ thì doanh nghiệp nhỏ lẻ làm xao cạnh tranh với doanh nghiệp lớn được, thằng lớn nó độc quyền nó tăng giá ko thể chấp nhận được

Thế nên dù là web rác vẫn phải hash pw cho đúng cách

có thể có ý kiến khác là xài oauth gì đó của gg/fb, cách này rất tiện và mình ko phải mất công lưu pw nhưng lỡ người dùng bị ban gg thì bỏ mẹ cái acc của người ta ở trang web rác xài oauth đó. Như acc Kute v3 này của toy xài gmail tạo mới nó phát hiện toy spam gmail nó ban ròi, toy chủ quan đéo ngờ nó ban nên đéo tạo password cho cái acc này, lịt pẹ lỡ log out ra là đéo log in vào được nữa luôn

(tuy nhiên phò rum này là web rác, toy đã lưu cái cookie xf_user lại có gì xài để login vào

) Lưu password vẫn phải cần chứ ko phó mặc cho oauth được

Click to expand...

hung_hell_hound said:

tiện các bác cho e hỏi thằng này đang mã hóa những loại nào vậy

Click to expand...

LonelyWolf1301 said:

https://en.wikipedia.org/wiki/PBKDF2
Thường máy cái hash này nó có các ký tự đầu tiên đại diện cho kiểu mã hóa á. Search tí là ra.

Click to expand...

hung_hell_hound said:

e có search rồi mà hình như thằng này đang nối sha256 + vài cái bump md5, bcrypt các kiểu nữa ấy ạ. e có thử decrypt sha256, md5 , bcrypt mà ko đc ạ

Click to expand...

LonelyWolf1301 said:

https://stackoverflow.com/questions/24563847/decrypt-password-created-by-crypto-pbkdf2-object
Nó là one-way hash function, mục đích của nó không phải để decrypt mà để mã hóa 1 chiều thôi bác.

Click to expand...

hung_hell_hound said:

haha. vậy là giờ không thể decrypt lại cái pass đó để xem mà chỉ có thể mã hóa 1 chiều pass nhập vô rồi so sánh với chuỗi trong csdl à bác?

Click to expand...