对数据加密

什么是密码哈希？

哈希算法是一种单向函数。它把任意数量的数据转换为固定长度的“指纹”，而且这个过程无法逆转。它们有这样的特性：如果输入发生了一点改变，由此产生的哈希值会完全不同（参见上面的例子）。这个特性很适合用来存储密码。因为我们需要一种不可逆的算法来加密存储的密码，同时保证我们也能够验证用户登陆的密码是否正确。 

如何破解哈希？

字典攻击和暴力攻击（ Dictionary and Brute Force Attacks）

破解哈希加密最简单的方法是尝试猜测密码，比较每个猜测的密码，比较猜测密码的哈希值是否等于破解的哈希值。如果相等，猜猜。最常见的两种猜测密码攻击方法是字典攻击和暴力攻击 。

字典攻击使用字典文件，包括单词、短语、常用密码和其他可能用作密码字符串。对文件中的每个单词进行哈希加密，将这些哈希值与要破解的密码哈希值进行比较。假如它们是一样的，这个词就是密码。字典文件由大段文本中提取的单词组成，甚至包括数据库中的一些真实密码。还可以进一步处理字典文件，使其更有效：如单词 “hello” 按网络语写法转换 “h3110” 。

暴力攻击是尝试每个可能的字符组合给定的密码长度。这样会消耗大量的计算，也是破解哈希加密效率最低的方法，但最终会找到正确的密码。码。因此，密码应该足够长，以至于所有可能的字符组合都花费了太长的时间来放弃破解。

目前还没有办法组织字典攻击或暴力攻击。我们只能找到让它们低效的方法。如果密码哈希系统的设计是安全的，解决哈希的唯一方法就是对每个哈希值进行字典攻击或暴力攻击。

查表法（ Lookup Tables）

查表法是破解相同类型哈希值的一种非常有效的方法。主要概念是提前计算（ pre-compute）发布密码字典中每个密码的哈希值，然后将相应的密码存储在一个表中。一个设计良好的查询表结构，即使包含数十亿个哈希值，仍然可以每秒查询数百个哈希。

反向查表法（ Reverse Lookup Tables）

这种攻击允许攻击者对多个哈希值发起字典攻击或暴力攻击，而无需提前计算查询表。

首先，攻击者从黑色用户账户数据库中创建用户名和相应的密码哈希表，然后，攻击者猜测一系列哈希值，并使用查询表找到使用该密码的用户。许多用户通常使用相同的密码，所以这种攻击特别有效。

彩虹表（ Rainbow Tables）

彩虹表是一种以空间换时间的技术。类似于查表法，它牺牲了破解速度，以使查询表更小。由于彩虹表较小，可以在单位空间中存储更多的哈希值，从而使攻击更有效。最多可以破解任何8位长度 MD5 彩虹表已经出现。

接下来，让我们来看一个所谓的加盐（ salting）该技术可使查表法和彩虹表失效。

加盐（ Adding Salt）

hash("hello")                    = 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 hash("hello"   "QxLUF1bgIAdeQX") = 9e209040c863f84a31e719795b2577523954739fe5ed3b58a75cff2127075ed1 hash("hello"   "bv5PehSMfV11Cd") = d1d3ec2e6f20fd420d50e2642992841d8338a314b8ea157c9e18477aaef226ab hash("hello"   "YYLmfY6IehjZMQ") = a49670c3c18b9e079b9cfaf51634f563dc8ae3070db2c4a8544305df1b60f007

查表法和彩虹表只有在所有密码完全相同的情况下才有效。如果两个用户有相同的密码，他们将有相同的密码哈希值。我们可以随机哈希，当同一密码哈希两次时，哈希值是不同的，以避免这种攻击。

我们可以通过在密码中添加一个随机字符串来加密哈希，称为盐值。例如，这使得相同的密码每次都被加密成完全不同的字符串。我们需要盐值来检查密码是否正确。它通常与密码哈希值一起存储在帐户数据库中，或作为哈希字符串的一部分。

盐值不需要加密。由于哈希值是随机的，检查表、反向检查表和彩虹表将无效。由于攻击者不能提前知道盐值，所以他们不能提前计算查询表或彩虹表。如果每个用户的密码用不同的盐加密，反向检查表的攻击将无效。

错误的方法：短盐值和盐值重用

最常见的错误是哈希多次加密使用相同的盐值，或者盐值太短。

盐值复用（ Salt Reuse）

当用户创建帐户或更改密码时，应使用新的随机盐值进行加密。

短盐值（ Short Slat）

为了使攻击者无法构建包含所有可能盐值的查询表，盐值必须足够长。良好的经验是使用与哈希函数输出字符串相同的长盐值。 SHA256 输出为256位(32字节)，因此盐也应为32个随机字节。

双哈希和奇怪的哈希函数

奇怪的哈希算法组合。人们很容易感到困惑，尝试结合不同的哈希函数，希望使数据更安全。但在实践中，这并不好。它带来了函数之间的交换问题，甚至可能使哈希更不安全。

当攻击者不知道哈希加密算法时，他们就不能发动攻击。但考虑到柯克霍夫的原则，攻击者通常会获得源代码（特别是免费或开源软件）。通过系统找到密码-哈希值对应关系，很容易反向推导加密算法。

如何正确加密哈希？

基础知识：加盐哈希（ Hashing with Salt）

盐值应使用加密安全伪随机数生成器（ Cryptographically Secure Pseudo-Random Number Generator，CSPRNG ）产生。CSPRNG与普通伪随机数生成器大不相同，CSPRNG 设计用于加密安全，这意味着它可以提供高度随机、完全不可预测的随机数。我们不希望测盐值，所以必须使用 CSPRNG 。下表列出了一些主流编程平台 CSPRNG 方法。

每个用户的每个密码都应该使用独特的盐值。每次用户创建帐户或更改密码时，密码应使用新的随机盐值。永远不要重复使用某个盐值。盐值也应该足够长，以便有足够的盐值用于哈希加密。一个经验规则是盐值至少应该和哈希函数的输出一样长。盐应与密码哈希一起存储在用户账户表中。

存储密码的步骤：

1. 使用 CSPRNG 产生足够长的随机盐值。
2. 将盐值与密码混合，用标准密码哈希函数加密，如Argon2、 bcrypt 、 scrypt 或 PBKDF2 。
3. 将盐值与相应的哈希值一起存储在用户数据库中。

验证密码的步骤：

1. 检索用户的盐值和相应的哈希值。
2. 将盐值混入用户输入的密码，并且使用通用的哈希函数进行加密。
3. 与上一步的结果相比，它是否与数据库存储的哈希值相同。如果它们相同，则表示密码正确；否则，密码是错误的。

在 Web 在应用程序中，哈希加密将永远在服务端进行

这并不意味着你不应该在浏览器上加密哈希，但如果你这样做了，你必须在服务器上再加密哈希。在浏览器中加密哈希无疑是一个好主意，但在实现时应考虑以下几点：

• 客户端密码哈希加密不是 HTTPS（SSL/TLS）的替代品。如果浏览器和服务端之间的连接是不安全的，那么中间人攻击可以修改 JavaScript 代码，删除加密函数，从而获取用户的密码。
• 某些浏览器不支持 JavaScript ，还有一些用户在浏览器中禁用 JavaScript 功能。因此，为了更好的兼容性，您的应用应该检测浏览器是否支持 JavaScript ，如果不支持，就需要在服务端模拟客户端进行哈希加密。
• 客户端的哈希加密同样需要加盐。显而易见的解决方案是使客户端脚本向服务端请求用户的盐值。但是不提倡这样做，因为它可以让攻击者能够在不知道密码的情况下检测用户名是否有效。既然你已经在服务端上对密码进行了加盐哈希（使用合格的盐值），那么在客户端，将用户名（或邮箱）加上网站特有的字符串（如域名）作为客户端的盐值也是可行的。

使密码更难破解：慢哈希函数（ Slow Hash Function）

加盐可以确保攻击者无法使用像查询表和彩虹表攻击那样对大量哈希值进行破解，但依然不能阻止他们使用字典攻击或暴力攻击。高端显卡（ GPU ）和定制的硬件每秒可以进行十亿次哈希计算，所以这些攻击还是很有效的。为了降低使这些攻击的效率，我们可以使用一个叫做密钥扩展（ key stretching）的技术。

这样做的初衷是为了将哈希函数变得非常慢，即使有一块快速的 GPU 或定制的硬件，字典攻击和暴力攻击也会慢得令人失去耐心。终极目标是使哈希函数的速度慢到足以令攻击者放弃，但由此造成的延迟又不至于引起用户的注意。

密钥扩展的实现使用了一种 CPU 密集型哈希函数（ CPU-intensive hash function）。要使用标准的算法，比如 PBKDF2 或 bcrypt 。你可以在这里找到 PBKDF2 在 PHP 上的实现。

这类算法采取安全因子或迭代次数作为参数。此值决定哈希函数将会如何缓慢。对于桌面软件或智能手机应用，确定这个参数的最佳方式是在设备上运行很短的性能基准测试，找到使哈希大约花费半秒的值。通过这种方式，程序可以尽可能保证安全而又不影响用户体验。

如果您想在一个 Web 应用使用密钥扩展，须知你需要额外的计算资源来处理大量的身份认证请求，并且密钥扩展也容易让服务端遭受拒绝服务攻击（ DoS ）。尽管如此，我还是建议使用密钥扩展，只不过要设定较低一些的迭代次数。这个次数需要根据自己服务器的计算能力和预计每秒需要处理的认证请求次数来设置。消除拒绝服务的威胁可以通过要求用户每次登陆时输入验证码（ CAPTCHA ）来做到。

不可能破解的哈希加密：密钥哈希和密码哈希设备

只要攻击者可以使用哈希来检查密码的猜测是对还是错，那么他们可以进行字典攻击或暴力攻击。下一步是将密钥（ secret key）添加到哈希加密，这样只有知道密钥的人才可以验证密码。有两种实现的方式，使用ASE算法对哈希值加密；或者使用密钥哈希算法 HMAC 将密钥包含到哈希字符串中。

实现起来并没那么容易。这个密钥必须在任何情况下，即使系统因为漏洞被攻陷，也不能被攻击者获取。如果攻击者完全进入系统，密钥不管存储在何处，总能被找到。因此，密钥必须密钥必须被存储在外部系统，例如专用于密码验证一个物理上隔离的服务端，或者连接到服务端，例如一个特殊的硬件设备，如 YubiHSM 。

我强烈建议所有大型服务（超过10万用户）使用这种方式。我认为对于任何超过100万用户的服务托管是非常有必要的。

如果您难以负担多个服务端或专用硬件的费用，依然有办法在标准的Web服务端上使用密钥哈希技术。大多数数据库被拖库是由于 SQL 注入攻击，因此，不要给攻击者进入本地文件系统的权限（禁止数据库服务访问本地文件系统，如果有此功能的话）。如果您生成一个随机密钥并将其存储在一个通过 Web 无法访问的文件上，然后进行加盐哈希加密，那么得到的哈希值就不会那么容易被破解了，就算数据库已经遭受注入攻击，也是安全的。不要将密钥硬编码到代码中，应该在安装应用时随机生成。这么做并不像使用一个独立的系统那样安全，因为如果 Web 应用存在 SQL 注入点，那么有可能存在其他一些问题，如本地文件包含漏洞（ Local File Inclusion ），攻击者可以利用它读取本地密钥文件。

请注意，密钥哈希并不意味着无需进行加盐。高明的攻击者最终会想方设法找到密钥，因此，对密码哈希仍然需要进行加盐和密钥扩展，这一点非常重要。

其他安全措施

密码哈希仅仅在安全受到破坏时保护密码。它并不能使整个应用更加安全。首先有很多事必须完成，来保证密码哈希值（和其他用户数据）不被窃取。

对您的应用进行第三方“渗透测试”是一个很好的主意。即使最好的程序员也可能会犯错，所以，让安全专家审计代码寻找潜在的漏洞是有意义的。找一个值得信赖的机构（或招聘人员）来定期审计代码。安全审计应该从开发初期就着手进行，并贯穿整个开发过程。

监控您的网站来发现入侵行为也很重要。我建议至少雇用一名全职人员负责监测和处理安全漏洞。如果某个漏洞没被发现，攻击者可能通过网站利用恶意软件感染访问者，因此，检测漏洞并及时处理是极为重要的。

常见疑问

private static boolean slowEquals(byte[] a, byte[] b)
     {
         int diff = a.length ^ b.length;
         for(int i = 0; i < a.length && i < b.length; i++)
             diff |= a[i] ^ b[i];
         return diff == 0;
     }

MOV EAX, [A]
CMP [B], EAX
JZ equal
JMP done
equal:
AND [VALID], 1
done:
AND [VALID], 0

MOV EAX，[A]
XOR EAX，[B]
OR [DIFF]，EAX