是否有安全专家建议使用bcrypt进行密码存储？

#1 楼

Bcrypt具有最好的密码算法声誉：它已经存在了很长一段时间，被广泛使用，“吸引了人们的注意”，但至今仍保持不变。

为什么bcrypt比PBKDF2更好一些

如果仔细研究一下情况，实际上可以看到bcrypt比PBKDF2更好的地方。 Bcrypt是旨在降低速度的密码哈希功能。确切地说，我们希望密码散列函数对于攻击者尽可能慢，而对于诚实系统则不会令人难以忍受。由于“诚实的系统”倾向于使用现成的通用硬件（即“一台PC”），攻击者也可以使用它们，因此，我们希望最好的办法是使攻击者和用户的密码哈希速度都慢N倍。为我们。然后，我们调整N，以免超出资源（主要是用户的耐心，这确实是有限的）。

我们要避免的是攻击者可能会使用某些非PC硬件这将使他从bcrypt或PBKDF2隐含的额外工作中所受的痛苦比我们少。特别是，勤奋的攻击者可能想要使用GPU或FPGA。例如，SHA-256可以非常高效地在GPU上实现，因为它仅使用GPU擅长的32位逻辑和算术运算。因此，拥有价值500美元的GPU的攻击者每小时可以“尝试”更多的密码，这比拥有价值500美元的PC可以做到的多（密码的比率取决于GPU的类型，但是比率为10倍或20倍通常）。

Bcrypt严重依赖对表的访问，该表在整个算法执行期间会不断更改。这在PC上非常快，而在GPU上则更快，在GPU上共享内存，并且所有内核都争夺内部内存总线的控制权。因此，与使用PBKDF2或类似设计的攻击者相比，攻击者使用GPU所获得的提升大大降低了。

bcrypt的设计人员很清楚这个问题，这就是为什么他们从块密码Blowfish而不是SHA- *函数中设计bcrypt的原因。他们在文章中指出以下内容：这意味着应该对任何密码功能都尽可能有效地进行设置。 crypt的设计者未能做到这一点。他们基于DES的加密算法，由于许多位转置，因此在软件中实现效率极低。他们抵制了硬件攻击，部分原因是无法使用现有的DES硬件来计算加密。不幸的是，Biham随后发现了一种称为位片的软件技术，该技术消除了在计算许多同时进行的DES加密时的位转置成本。虽然分片并不能帮助任何人更快地登录，但是它提供了惊人的加速暴力破解密码的功能。


表明硬件及其使用方式非常重要。即使使用与诚实系统相同的PC，攻击者也可以使用位片并行尝试多个密码并加以利用，因为攻击者可以尝试多个密码，而诚实系统一次只能输入一个密码。 br />
为什么bcrypt不能达到最佳安全性

bcrypt的作者在1999年工作。当时，这种威胁是门数很少的定制ASIC。时代变了；现在，老练的攻击者将使用大型FPGA，而较新的模型（例如，Xilinx的Virtex）具有嵌入式RAM块，从而使它们可以非常有效地实现Blowfish和bcrypt。 Bcrypt仅需要4 kB的快速RAM。虽然bcrypt在使GPU增强的攻击者难以生存的过程中做得不错，但对使用FPGA的攻击者却无济于事。

这促使Colin Percival在2009年发明了scrypt。这是一个类似于bcrypt的函数，需要更多的RAM。这仍然是一个新设计（仅两年），其普及程度远不及bcrypt。我认为它太新了，不建议一般推荐。但是，它的职业生涯应该遵循。计算机的主硬盘：这是一种使用情况，其中哈希可以使用数百兆的RAM和价值几秒钟的CPU。对于繁忙的服务器，它对传入的请求进行身份验证时，CPU预算要低得多，因为服务器需要能够一次处理多个并发请求，并且在偶尔的峰值负载下不会减慢爬网速度；但是当scrypt使用更少的CPU时，它也使用更少的RAM，这是内部定义函数的一部分。计算必须在几毫秒的工作量内完成，使用的RAM数量如此之低，以致scrypt在技术上要比bcrypt弱。）

NIST的建议
关于存储哈希密码的主题的特殊出版物SP 800-132。基本上，他们推荐PBKDF2。这并不意味着他们认为bcrypt不安全；他们对bcrypt一无所获。这只是意味着NIST认为PBKDF2“足够安全”（并且肯定比简单的哈希好得多！）。而且，NIST是一个管理组织，因此它们必然会喜欢基于SHA-256之类已经“批准”的算法的任何事物。另一方面，bcrypt来自Blowfish，它从未收到过任何NIST的祝福（或诅咒）。 （具有“高”迭代次数），那么很有可能密码存储不再是最严重的安全问题。

#2 楼

bcrypt相对于简单添加盐分的SHA-256哈希具有显着优势：bcrypt使用修改后的密钥设置算法，该算法非常昂贵。这称为密钥加强，它使密码对于暴力攻击更为安全，因为攻击者现在需要更多时间来测试每个可能的密钥。

在博客文章“彩虹足够了”表：“您需要了解的有关安全密码方案的知识”，我个人建议您阅读，作者兼安全研究人员Thomas Ptacek建议使用bcrypt。

我个人一直最近查看了PBKDF2，它是一个密钥派生函数，它将伪随机函数（例如，密码哈希）与盐一起应用于输入密码，然后通过重复指定次数的过程来推导密钥。尽管它是密钥派生功能，但其核心使用密钥加强原理，这是在决定如何安全地生成密码哈希时应努力的许多事情之一。

要引用以上链接文章中的Thomas Ptacek：


密码哈希函数中，速度正是您所不想要的。

#3 楼

我认为Gui提出的有关PBKDF2的建议是值得的，尽管我知道Rook强烈不同意。除非他们清楚其理由！

无论如何，与HMAC-SHA256相比，没有理由使用盐腌的SHA-256哈希。 HMAC具有阻止扩展攻击的优势。

#4 楼

NIST是总部位于美国的政府组织，因此遵循FIPS（美国）标准，该标准不包括河豚，但包括SHA-256和SHA-512（甚至包括用于非数字签名应用程序的SHA-1，甚至在NIST SP800-131A中进行了描述，其中描述了每种较旧的算法可以用于多长时间。）

对于需要符合美国NIST或FIPS标准的任何业务，bcrypt都不是有效的选择。当然，如果您在当地开展业务，请分别检查每个国家的法律和法规。

PBKDF2很好；真正的诀窍是在诚实的服务器中获取Tesla（基于GPU）卡，以便可以使迭代足够高，以与基于GPU的破解程序竞争。对于2012年的PBKDF2，OWASP建议在其密码存储备忘单上至少进行64,000次迭代，每2年翻一番。

#5 楼

值得一提的是赢得密码哈希竞赛的Argon2。