Argon2
Argon2 är en familj minneskrävande hashfunktioner för lösenord. Variant, minnesbehov och körtid måste passa säkerhetskraven och driften.
Kontrollera lösenord med beräkningsarbete
Argon2 är en familj hashfunktioner för lösenord vars beräkning avsiktligt kräver arbetsminne och tid. Det gör storskaliga gissningsförsök mot stulna lösenordshashar dyrare. OWASP rekommenderar varianten Argon2id för ny lösenordslagring. Ett svagt lösenord kan fortfarande hittas med lämpliga gissningar.
En fiktiv applikation sparar en verifieringspost som dess bibliotek har skapat: variant, parametrar, salt och härlett kontrollvärde. Vid inloggning använder biblioteket dessa uppgifter för att kontrollera det angivna lösenordet. Det dekrypterar inte det ursprungliga lösenordet ur det lagrade värdet.
Behandla parametrar som ett driftbeslut
Parametern m beskriver den inställda totala minnesmängden i kibibyte, t antalet genomgångar och p de parallella beräkningsbanorna. Parallellitetsvärdet är ingen extra multiplikator för den inställda totala minnesmängden. Den faktiska tids- och minnesåtgången för ett anrop måste undersökas på den avsedda plattformen.
Teamet väljer inställningar utifrån aktuella säkerhetsrekommendationer och mätningar med det förväntade antalet samtidiga inloggningar. Mer beräkningsarbete gör även legitim kontroll dyrare; överbelastas servern försämras tillgängligheten. Ett godtyckligt standardvärde från ett exempel ersätter inte beslutet. Salt och parametrar finns kvar tillsammans med kontrollvärdet så att senare inloggningar kan kontrolleras korrekt.
Källor
Relaterade begrepp
- Saltning av lösenordVid saltning får varje ny lösenordshash ett eget slumpmässigt tilläggsvärde. Saltet sparas tillsammans med hashen och behöver inte vara hemligt.
- PasskeyEn passkey möjliggör inloggning med ett tjänstebundet nyckelpar. Enhetsbyte, kontoåterställning och rättigheter behöver fortfarande hanteras.
- HttpOnly-kakaHttpOnly hindrar skript från direkt åtkomst till kakan. Förfrågningar som matchar kan fortfarande skicka den; session och rättigheter måste kontrolleras.
- DataminimeringDataminimering begränsar personuppgifter till vad som är lämpligt, relevant och nödvändigt för ett bestämt ändamål.
- Policy för datalagringEn policy för datalagring anger syfte, start, varaktighet och slut för lagringen. Raderingsjobb och kopior måste ingå i den tekniska lösningen.
- Envelope-krypteringEnvelope-kryptering skiljer datanyckeln från den nyckel som skyddar den. Den krypterade filen och inpackade datanyckeln behöver hanteras tillsammans.
Ditt projekt med ASES
Beskriv ditt projekt för oss. Vi hör av oss med en första bedömning.