Argon2
Argon2 er en familie af hukommelseskrævende hashfunktioner til adgangskoder. Variant, hukommelse og køretid skal passe til sikkerhed og drift.
Kontrollér adgangskoder med beregningsarbejde
Argon2 er en familie af hashfunktioner til adgangskoder, som bevidst kræver arbejdshukommelse og beregningstid. Det gør mange gætteforsøg mod stjålne adgangskodehash dyrere. OWASP anbefaler varianten Argon2id til ny lagring af adgangskoder. En svag adgangskode kan stadig findes ved passende gæt.
En fiktiv applikation gemmer en verifikationspost lavet af sit bibliotek: variant, parametre, salt og afledt kontrolværdi. Ved login bruger biblioteket disse oplysninger til at kontrollere den indtastede adgangskode. Det dekrypterer ikke den oprindelige adgangskode fra den gemte værdi.
Behandl parametre som et driftsvalg
Parameteren m beskriver den indstillede samlede hukommelse i kibibyte, t antallet af gennemløb og p de parallelle beregningsbaner. Parallelitetsværdien er ikke en ekstra multiplikator for den indstillede samlede hukommelse. Den faktiske tid og hukommelse til et kald skal undersøges på den planlagte platform.
Teamet vælger indstillinger ud fra aktuelle sikkerhedsanbefalinger og målinger med det forventede antal samtidige login. Større beregningsarbejde gør også legitim kontrol dyrere; overbelaster det serveren, går det ud over tilgængeligheden. En vilkårlig standardværdi fra et eksempel erstatter ikke dette valg. Salt og parametre gemmes sammen med kontrolværdien, så senere login kan kontrolleres korrekt.
Kilder
Relaterede begreber
- Salting af adgangskoderVed salting får hver ny adgangskodehash sin egen tilfældige ekstraværdi. Saltet gemmes sammen med hashen og behøver ikke være hemmeligt.
- PasskeyEn passkey muliggør login med et nøglepar knyttet til tjenesten. Enhedsskift, kontogendannelse og rettigheder er fortsat særskilte opgaver.
- HttpOnly-cookieHttpOnly hindrer scripts i direkte at tilgå cookien. Passende anmodninger kan stadig sende den; session og rettigheder skal fortsat kontrolleres.
- DataminimeringDataminimering begrænser personoplysninger til det, der er passende, relevant og nødvendigt for et fastlagt formål.
- Politik for dataopbevaringEn politik for dataopbevaring fastlægger formål, start, varighed og afslutning. Sletteopgaver og kopier skal indgå i den tekniske løsning.
- Envelope-krypteringEnvelope-kryptering adskiller datanøglen fra nøglen, der beskytter den. Den krypterede fil og indpakkede datanøgle skal håndteres sammen.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.