Lastpass PBKDF2与salt

Question

鉴于LastPass遭到黑客攻击，他们对PBKDF2的使用让我产生了一些疑问。

1. 如果每次输入主密码访问保险库时，都使用带有salt和Master密码的PBKDF2生成保险库密码，那么salt不需要总是相同的吗？
2. 如果是这样的话，那么盐存放在哪里，难道不也是明文的吗？
3. 伪随机函数不也总是需要相同的，所以正确的密码会在结尾出现吗？

Answer 1

1. 如果每次输入主密码访问保险库时，都使用带有salt和Master密码的PBKDF2生成保险库密码，那么salt不需要总是相同的吗？

是。

1. 如果是这样的话，那么盐存放在哪里，难道不也是明文的吗？

通常是的。一种秘密盐被称为“胡椒”，它可以与盐混合。但据我所知，Lastpass只是使用随机盐。这些密码通常与密文一起存储(在本例中是加密用户的密码数据库)。

例如，有关更多细节，请参见这个答案。

1. 伪随机函数不也总是需要相同的，所以正确的密码会在结尾出现吗？

是的，它需要是一个具有相同输入的确定性函数。