为什么Web开发人员不这样做与数据库？

Question

我听说所有这些网站被SQL注入和黑客入侵。什么阻止他们用32个字符的字符串加密哈希？如果我是黑客，并且设法获取数据库，并且遇到加密哈希，我无法对数据库执行任何操作，因为我不知道加密算法和密钥。

只要密钥存储在securly所有人帐户将是安全的。

Answer 1

您对加密散列的想法确实会提高用户密码的安全性，但您应该了解您正在使用此度量解决什么问题，以及哪些问题没有解决。

首先也是最重要的是，密码的加密通常是不被接受的，因为它是一种弱保护。如果攻击者拥有密钥，他可以立即发现所有密码。因此，加密并不能缓解您使用像BCrypt，SCrypt，PBKDF2或Argon2这样的慢速算法对密码进行正确散列。

但你的问题是关于加密散列的。有一种情况，即使正确哈希和盐渍密码可以很容易地恢复。如果用户选择了一个非常弱的密码，那么字典攻击无论如何都会很快显示出来。如果哈希已加密，攻击者需要密钥才能开始字典。这导致我们遇到以下情况：

只要密钥保密，加密哈希将保护弱密码。当攻击者在服务器上没有特权时，情况总是如此，例如SQL注入，被忽视的服务器，备份......我在我的教程末尾描述了safely storing passwords。