的 不要加密密码 强> ,当攻击者获得数据库时,他也将获得加密密钥。仅使用哈希函数是不够的,只添加一个盐几乎不能提高安全性。使用随机盐在HMAC上迭代大约100毫秒的持续时间并使用哈希值保存盐。使用诸如此类的功能 ehash , PBKDF2 , Bcrypt , passlib.hash 或类似的功能。关键是要让攻击者花费大量时间通过暴力查找密码。
ehash
PBKDF2
Bcrypt
passlib.hash
NIST 目前推荐 PBKDF2 用于密码验证程序。
看到:
NIST 基于密码的密钥派生建议
NIST特刊800-63B :( 数字身份指南 )
迈向更好的密码要求 吉姆芬顿