Salage des mots de passe

Utiliser un sel propre à chaque empreinte

Le salage attribue à chaque nouvelle empreinte de mot de passe une valeur supplémentaire, distincte et générée aléatoirement de manière sûre. Ce sel entre dans la fonction de hachage. Il n’a pas à être secret et se conserve avec la valeur de vérification. Une bibliothèque de hachage de mots de passe correctement utilisée peut assurer sa génération et sa gestion.

Dans une application fictive, account-A et account-B choisissent le même mot de passe. La bibliothèque génère pour eux des sels aléatoires indépendants. Les noms salt-A et salt-B représentent uniquement ces valeurs ; ils ne constituent pas des réglages de sel utilisables. Des sels distincts empêchent de réutiliser simplement une empreinte précalculée pour tous les comptes.

Vérifier avec la valeur conservée

Lors d’une connexion ultérieure, la bibliothèque utilise le sel et les paramètres conservés pour vérifier le mot de passe saisi. Elle ne génère pas un nouveau sel à chaque vérification d’une empreinte existante. En revanche, la création d’une nouvelle empreinte utilise un nouveau sel.

Le sel diffère du pepper : ce dernier est un secret supplémentaire pouvant protéger plusieurs enregistrements, conservé séparément de la base des mots de passe. Le sel ne remplace pas non plus une fonction de hachage suffisamment coûteuse. Avec une copie de la base, une personne peut encore essayer des mots de passe candidats avec le sel concerné ; les mots de passe faibles restent donc exposés.

Sources

• OWASP — Password Storage