Ok. Vu que j'ai besoin d'écrire sur ce sur et sur , je vais faire une dernière réponse canonique sur pepper seul.

L'Apparente À L'Envers De Poivrons

il semble tout à fait évident que les poivrons devraient rendre les fonctions de hachage plus sûres. Je veux dire, si l'attaquant obtient seulement votre base de données, alors vos mots de passe utilisateurs devrait être sécurisé, Non? Semble logique, non?

C'est pourquoi beaucoup de gens croient que les poivrons sont une bonne idée. Il "a du sens".

La Réalité Des Poivrons

dans les domaines de la sécurité et de la cryptographie," avoir du sens " n'est pas suffisant. Quelque chose doit être prouvable et faire sens pour être considéré comme sûr. En outre, il a à être mises en œuvre dans un maintenable. Le système le plus sûr qui ne peut pas être maintenu est considéré comme non sûr (parce que si une partie de ce la sécurité tombe en panne, tout le système tombe en morceaux).

et les poivrons ne correspondent ni aux modèles prouvables ni aux modèles maintenables...

Problèmes Théoriques Avec Les Poivrons

maintenant que nous avons préparé le terrain, regardons ce qui ne va pas avec les poivrons.

• donner du hash à quelqu'un d'autre peut être dangereux.

  dans votre exemple, vous faites hash_function($salt . hash_function($pepper . $password)) .

  nous savons par expérience que" juste alimenter " un résultat de hachage dans une autre fonction de hachage peut diminuer la sécurité globale. La raison en est que les deux fonctions de hachage peuvent devenir une cible d'attaque.

  C'est pourquoi des algorithmes comme PBKDF2 utilisent des opérations spéciales pour les combiner (hmac dans ce cas).

  le fait est que bien que ce ne soit pas une grosse affaire, ce n'est pas non plus une chose insignifiante de juste jeter autour. Les systèmes de cryptographie sont conçus pour éviter les cas "qui devraient fonctionner", et se concentrent plutôt sur les cas "conçus pour fonctionner".

  bien que cela puisse sembler purement théorique, ce n'est en fait pas le cas. Par exemple, Bcrypt ne peut pas accepter les mots de passe arbitraires . Ainsi, passer bcrypt(hash(pw), salt) peut en effet conduire à un hachage beaucoup plus faible que bcrypt(pw, salt) si hash() renvoie une chaîne binaire.

• La conception

  la façon dont bcrypt (et d'autres algorithmes de hachage de mots de passe) ont été conçus est de fonctionner avec un sel. Le concept de poivre n'a jamais été lancée. Cela peut sembler une banalité, mais il ne l'est pas. La raison en est que le sel n'est pas un secret. C'est juste une valeur qui peut être connu à un attaquant. Un poivre par contre, par définition, est un secret cryptographique.

  les algorithmes actuels de hachage de mot de passe (bcrypt, pbkdf2, etc) tous sont conçus pour seulement prendre une valeur secrète (le mot de passe). L'ajout d'un autre secret dans l'algorithme n'a pas été étudié.

  cela ne signifie pas qu'il n'est pas sûr. Cela signifie que nous ne savons pas si c'est sûr. Et la recommandation générale avec la sécurité et la cryptographie est que si nous ne savons pas, ce n'est pas le cas.

  donc tant que les algorithmes ne sont pas conçus et validés par les cryptographes pour une utilisation avec des valeurs secrètes (peppers), les algorithmes actuels ne devraient pas être utilisés avec eux.

• La Complexité Est L'Ennemi De La Sécurité

  Croyez-le ou pas, la Complexité Est L'Ennemi De la Sécurité . Faire un algorithme qui semble complexe peut être sécurisé, ou il peut ne pas l'être. Mais il y a de fortes chances que ce ne soit pas sûr.

Des Problèmes Importants Avec Des Poivrons

• il N'est pas maintenable

  votre mise en œuvre de poivrons empêche la possibilité de tourner la clé de poivre. Puisque le poivre est utilisé à l'entrée de la fonction à Sens Unique, vous ne pouvez jamais changer le poivre pour la durée de vie de la valeur. Cela signifie que vous avez besoin de venir avec quelques pirouettes pour obtenir le support de la rotation des clés.

  c'est extrêmement important car il est lorsque vous stockez des secrets cryptographiques. Le fait de ne pas avoir de mécanisme pour faire tourner les clés (périodiquement et après une brèche) est une énorme vulnérabilité de sécurité.

  et votre approche actuelle de pepper exigerait que chaque utilisateur soit d'avoir son mot de passe complètement invalidé par une rotation, ou d'attendre jusqu'à leur prochaine connexion à tourner (qui peut ne jamais être)...

  ce qui fait de votre approche un non-go immédiat.

• Il Exige Que Vous Rouliez Votre Propre Crypto

  comme aucun algorithme actuel ne supporte le concept d'un poivre, il vous faut soit composer des algorithmes, soit en inventer de nouveaux pour supporter un poivre. Et si vous ne pouvez pas voir immédiatement pourquoi c'est une très mauvaise chose:

  N'importe qui, de l'amateur le plus ignorant au meilleur cryptographe, peut créer un algorithme qu'il lui-même ne peut pas briser.

  • Bruce Schneier

  JAMAIS rouler votre propre crypto...

La Meilleure Façon

Donc, sur tous les problèmes décrits ci-dessus, il y a deux façons de gérer la situation.

• Utilisez Les Algorithmes Tels Qu'Ils Existent.

  si vous utilisez bcrypt ou scrypt correctement (avec un coût élevé), tous les mots de passe sauf les plus faibles du dictionnaire devraient être statistiquement sûrs. Le record actuel pour le hachage de bcrypt au coût 5 est de 71k hachures par seconde. À ce rythme, même un mot de passe aléatoire de 6 caractères prendrait des années à craquer. Et compte tenu de mon coût minimum recommandé est de 10, qui réduit les coups de fouet par seconde d'un facteur de 32. On ne parlerait que de 2200 coups de fouet par seconde. À ce rythme, même certaines phrases ou modifications du dictionnaire peuvent être sécuritaires.

  de plus, nous devrions vérifier les faibles classes de mots de passe à la porte et ne pas les laisser entrer. Comme la fissuration de mot de passe devient plus avancé, ainsi devrait les exigences de qualité de mot de passe. C'est toujours un jeu statistique, mais avec une bonne technique de stockage, et des mots de passe forts, tout le monde devrait être pratiquement très sûr...

• Chiffrer Le Hachage De Sortie Avant Le Stockage

  il existe dans le domaine de la sécurité un algorithme conçu pour gérer tout ce que nous avons dit ci-dessus. C'est un algorithme de chiffrement par bloc. C'est bien, parce que c'est réversible, donc on peut tourner les touches (yay! la maintenabilité!). C'est bien parce qu'ils sont utilisés comme prévu. C'est bien parce que ça ne donne aucune information à l'utilisateur.

  regardons encore cette ligne. Disons qu'un attaquant connaît votre algorithme (qui est nécessaire pour la sécurité, sinon, c'est la sécurité par l'obscurité). Avec une approche traditionnelle au poivre, l'attaquant peut créer un mot de passe sentinelle, et comme il connaît le sel et la production, il peut forcer le poivre. Ok, c'est un long shot, mais c'est possible. Avec un cryptogramme, l'attaquant n'obtient rien. Et comme le sel est aléatoire, un mot de passe sentinelle ne l'aidera pas. Donc le mieux qu'il leur reste est d'attaquer la forme cryptée. Ce qui signifie qu'ils ont d'abord attaquer votre hachage chiffré à récupérez la clé de cryptage, puis attaquez les hachures. Mais il y a un lot de recherche sur l'attaque des chiffreurs, donc nous voulons compter sur cela.

TL/DR

N'utilisez pas de poivrons. Il y a une foule de problèmes avec eux, et il y a deux meilleures façons: ne pas utiliser de secret côté serveur (Oui, c'est ok) et chiffrer le hachage de sortie en utilisant un chiffrement de bloc avant le stockage.