Che cosa sono sale e pepper negli hash delle password?
Sale e pepper rafforzano la protezione degli hash delle password, rendono più difficili gli attacchi di massa e aumentano la resilienza del sistema in caso di fuga.
Cosa fa il sale
Il sale è un valore aggiuntivo che viene introdotto per password o per utente prima che venga calcolato l'hash. Ciò significa che password identiche non generano automaticamente gli stessi valori hash.
Ciò rende le tabelle precalcolate e i confronti di massa significativamente meno efficaci.
In che modo Pepper è diverso
- Pepper è in genere un valore segreto aggiuntivo esterno al database delle password effettivo.
- Lo scopo è evitare che un semplice furto del database sia sufficiente per attaccare ugualmente bene tutti gli hash.
- Il pepe è complementare al sale, ma non lo sostituisce.
Perché questo conta per le fughe di notizie reali
L'hashing senza sale oggi non è sufficiente. Anche se il metodo di hashing è stato scelto correttamente, il sale e spesso anche il pepe aumentano la resistenza ad una valutazione sistematica.
È ancora importante per gli utenti: password forti e uniche sono il primo livello di difesa.
Lista rapida
Le azioni più importanti di questa guida, riassunte in breve.
- Durante lo sviluppo, considera il sale come un requisito fondamentale.
- Utilizza Pepper solo con una gestione delle chiavi pulita.
- Non dare per scontato che una buona archiviazione del server compensi le password errate degli utenti.
Domande frequenti
Crea subito una password forte
Usa il generatore di Zenkey.click per creare subito una password casuale forte o una passphrase sicura.
Argon2 vs. bcrypt vs. scrypt: quale metodo protegge meglio le password?
Se vuoi continuare, questa è la guida consigliata da aprire dopo.
Argon2, bcrypt e scrypt sono metodi di hashing delle password con diversi punti di forza. I sistemi moderni spesso si affidano ad Argon2 se l'ambiente lo supporta correttamente.