Salting af adgangskoder

Brug et særskilt salt til hver adgangskodehash

Ved salting får hver ny adgangskodehash en særskilt ekstraværdi, som dannes sikkert og tilfældigt. Saltet indgår som input i hashfunktionen til adgangskoder. Det behøver ikke være hemmeligt og gemmes sammen med kontrolværdien. Et korrekt anvendt bibliotek til adgangskodehashing kan stå for dannelse og håndtering.

I en fiktiv applikation vælger account-A og account-B samme adgangskode. Biblioteket danner uafhængige tilfældige salte til dem. Navnene salt-A og salt-B står kun for disse værdier; de er ikke brugbare saltindstillinger. Forskellige salte forhindrer, at en angriber blot genbruger én forudberegnet hash til alle konti.

Kontrollér med den gemte værdi

Ved et senere login bruger biblioteket det gemte salt og de gemte parametre til at kontrollere adgangskoden. Det danner ikke et nyt salt, hver gang en eksisterende adgangskodehash kontrolleres. Ved dannelse af en ny adgangskodehash bruges der derimod et nyt salt.

Et salt er ikke en pepper: En pepper er en ekstra hemmelighed, som kan beskytte flere adgangskodeposter og opbevares adskilt fra adgangskodedatabasen. Et salt erstatter heller ikke en tilstrækkeligt krævende hashfunktion til adgangskoder. En person med en databasekopi kan stadig afprøve adgangskodekandidater med det tilhørende salt; svage adgangskoder er derfor fortsat udsatte.

Kilder

• OWASP — Password Storage