五种用户密码加密方法中哪一种最安全？

作为一家互联网公司的信息安全从业者，他们通常不得不处理扫描（扫描对于黑客来说是无聊的“恶作剧”. 黑客收集了从Internet泄露的用户+密码信息，生成相应的字典表，然后尝试批处理登录其他网站后，您会得到一系列可以登录的用户），扫描号的根本原因是某些公司发生了信息泄漏事件，而这些泄漏的数据是未加密或加密方法薄弱，导致黑客可以恢复原始用户密码.

以京东以前的崩溃为例，首先，京东的没有泄漏. 黑客通过“崩溃库”方法“巧合”地获得了一些京东用户的数据（用户名和密码），这种方法几乎可以处理任何网站登录系统. 在不同的网站上登录时，该用户使用同一用户. 名称和密码等效于为自己配备一个“主密钥”. 一旦丢失，后果可想而知.

今天主要介绍用户密码的加密方法和主要的破解方法.

彩虹桌

用户密码加密方法

将用户密码保存到后，常见的加密方法有哪些？以下是常用的密码存储方法:

1. 以纯文本格式保存

例如，用户设置的密码为“ 123456”，并将“ 123456”直接保存在中. 这是最简单的保存方式，也是最不安全的方式. 但是实际上，许多互联网公司都可以采用这种方法.

2. 保存对称加密算法

例如，使用3DES和AES之类的算法，可以使用这种加密方法通过解密来恢复原始密码. 当然，前提是需要获取密钥. 但是，由于泄漏了许多用户信息，因此密钥很可能会泄漏. 当然，一般的数据和密钥可以分别存储和分别管理哪种加密算法最安全，但是完全保护密钥也是一件很复杂的事情，因此这种方式并不是一个好方法.

3. MD5和SHA1等单向HASH算法

使用这些算法后，无法通过计算恢复原始密码，并且实现相对简单. 因此，许多Internet公司使用此方法来保存用户密码. 此方法曾经是一种更安全的方法，但是随着彩虹表技术的兴起，可以为表查找和破解建立彩虹表，这目前是非常不安全的.

实际上，该公司也采用了这种MD5加密方法.

4. PBKDF2算法

此算法的原理大致等效于在HASH算法的基础上添加随机盐并执行多个HASH操作. 随机添加的盐大大增加了构建彩虹表的难度，并且多个HASH也使构建和破解表的难度增加. 大幅增加.

使用PBKDF2算法时，HASH通常选择sha1或sha256. 随机盐的长度通常不小于8个字节哪种加密算法最安全，并且HASH次数必须至少为1000次，以使安全性足够高. 服务器进行1000次HASH操作的密码验证过程可能只花费1毫秒，但是对于破解者而言，计算成本增加了1000倍，并且至少8字节的随机盐增加了构建表的难度. 数量级使得几乎不可能大量破解密码. 该算法也是美国国家标准技术研究院推荐的算法.

5. bcrypt和scrypt之类的算法

这两种算法也可以有效地抵抗彩虹表. 使用这两种算法时，需要指定相应的参数以增加破解的难度.

在密码学中，scrypt（发音为“ ess crypt”）是Colin Percival在2009年发明的关键推导功能. 它最初是为他创建的Tarsnap服务而设计的. 该设计考虑了的自定义硬件攻击，并故意需要大量的内存操作.

Scrypt不仅需要花费很长时间来计算，而且还占用大量内存，因此很难并行计算多个摘要，因此使用彩虹表进行暴力攻击更加困难. Scrypt在生产环境中并未使用，并且缺乏仔细的检查和广泛的功能库支持. 但是，只要在Scrypt的算法级别上没有缺陷，它的安全性就应该高于PBKDF2和bcrypt的安全性.

每种算法的特征

摘要

使用PBKDF2，bcrypt，scrypt和其他算法可以有效抵抗彩虹表攻击. 即使数据泄漏，最关键的“用户密码”仍然可以得到有效保护. 黑客无法大量破解用户密码，从而切断了扫描根数.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shumachanpin/article-210868-1.html