Argon2, bcrypt или scrypt: какой метод лучше защищает пароли?
Argon2, bcrypt и scrypt — это разные подходы к хешированию паролей. Во многих современных системах Argon2 считается сильным выбором, если он настроен корректно.
Почему одного названия алгоритма недостаточно
Выбор между Argon2, bcrypt и scrypt важен, но не решает всё сам по себе. Параметры, соль, модель хранения и миграция старых данных не менее критичны.
Тем не менее алгоритм задаёт базу: насколько дорого будет атакующему работать с украденными хешами.
Ключевые различия
- bcrypt хорошо известен и до сих пор широко применяется, но у него есть старые архитектурные ограничения.
- scrypt делает больший акцент на требования к памяти по сравнению с более простыми схемами.
- Argon2 часто считается наиболее современным выбором в новых системах.
На что смотреть при реальной оценке
Смотрите не только на название, но и на то, насколько адекватно настроены параметры под текущее железо и ожидаемую нагрузку. Современный алгоритм с плохими настройками мало что даст.
Для действующих систем отдельно важно, как мигрируют старые хеши и как постепенно избавляются от устаревших схем.
Быстрый контрольный список
Самые важные действия из этого руководства в компактной форме.
- Оценивайте всю конфигурацию хеширования, а не только название алгоритма.
- Регулярно пересматривайте параметры под текущее железо.
- При разработке заранее закладывайте миграцию со старых хешей.
Общие вопросы
Создайте надежный пароль сейчас
Используйте генератор Zenkey.click, чтобы сразу создать надежный случайный пароль или безопасную парольную фразу.
Почему сайт не должен уметь расшифровывать ваш пароль
Если вы хотите продолжить, это следующее руководство, которое стоит прочитать.
Если сервис способен расшифровать пароли пользователей, это красный флаг. Нормальной системе паролей такая возможность вообще не нужна.