问使用带有Bcrypt的辣椒(HMAC + Bcrypt)
EN

Cryptography用户

提问于 2021-07-29 00:40:36

回答 1查看 247关注 0票数 0

把HMAC和Bcrypt结合起来有用吗？

如果是这样的话，我应该在密码“Bcrypt”之前对密码进行HMAC吗？或者我应该在Bcrypt输出上做HMAC？

回答已采纳

发布于 2021-07-29 01:58:35

胡椒的目标是在密码哈希数据库被破坏但身份验证系统的其他部分未被破坏时保护密码。

密码哈希函数的输出包含它们的输入参数、salt和摘要，因此通过HMAC无法恢复，因此无法验证用户的密码。将明文密码哈希输出存储在“胡椒化”HMACed输出旁边，会泄漏“未配置”值。因此，您将胡椒粉应用于输入。

这与散列没有什么不同，bcrypt和PBKDF2、Argon2或Pufferfish2或任何其他密码哈希函数一样.

票数 1

页面原文内容由Cryptography提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://crypto.stackexchange.com/questions/92311

复制

相似问题

问使用带有Bcrypt的辣椒(HMAC + Bcrypt)EN