全球站点盐，值得吗？

Question

我正在创建一个用户数据库，我正在考虑安全性，这让我想到，当我要对每个人都拥有唯一的用户 salt 时，拥有一个站点 salt 真的值得吗？

md5(GLOBAL_SALT . $password . $user_salt);

对

md5($password . $user_salt);

我的想法是，如果网站被黑客入侵，黑客无论如何都可以访问全球盐。

Answer 1

你说的也叫pepper。盐和胡椒有不同的用途：

• 盐可防止彩虹表攻击。
• 辣椒在某些情况下可以防止字典攻击。

这实际上取决于攻击者是否可以控制服务器，或者如果使用辣椒，则只能访问数据库（SQL 注入）。我最近写了一篇关于hashing passwords的教程，我试图解释其中的要点。

还有其他一些事情需要考虑，例如 MD5 对密码散列来说太快了，因此应该使用 BCrypt 之类的密钥派生函数。