使用我自己的哈希码安全吗？ [关闭]

Question

将我的网站密码存储在我的数据库中并使用我自己的代码进行哈希处理是否安全？哈希码是用 php 编写的，这里有一些例子：

a - ìbnÿ&%A'T«•t‰ãšÀ

一个。 - mf‡=ä^ö™b±kª©

啊！ - ž'6èŤ7μp¼Y +

123456 - Š-ËzUo‚ñQÈÇûÌ8

stackoverflow - ‹°>¨0µ±Ò¡^Ö—–”

hased 值始终为 16 个字符。据我说，它可以散列多达 10^96 个不同的散列值，并且需要很长时间才能破解。我可以将它用于我的网站吗？

Answer 1

总结一下cmets中普遍提到的内容：

• 通过默默无闻的安全不是保护。一方面，如果您的哈希数据库泄漏，您的源代码也可能可以访问。如果不是这样，人们可以进行实验并可能对算法进行逆向工程。如果你能想出来，其他人也能想出来。
• 散列必须有足够大的键空间以尽可能避免冲突。从字母表的大小来看，您显然已经覆盖了，但我们不知道您的算法的防碰撞性能如何。
• 散列必须足够昂贵，以使其无法快速散列大量值。我们不知道您的情况，但由于您没有明确强调这是一项功能，我希望它快速。这意味着攻击者会尽可能快地尝试散列所有可能的密码。请注意，您的哈希值的字母表有多大是无关紧要的；只有要散列的值的数量乘以散列一个值所需的时间是相关的。
• 哈希不得存在允许进一步缩短哈希时间的快捷方式甚至允许对值进行有针对性的逆向工程的漏洞。根据您提供的有关哈希的信息，我们对此一无所知。

---

话虽如此，如果您的网站非常低调，可能足够仅仅因为它晦涩难懂（哎呀，默默无闻的安全性）并且没有人关心。如果有一天一个足够熟练的攻击者对您的特定网站和哈希算法感兴趣，那么您可能就完蛋了。