如何根据技术发展来确定PBKDF2迭代的好次数？

Question

我正在使用PBKDF2派生密码，但我永远不知道什么是迭代计数的“足够”值。

技术发展很快，我也想知道我应该增加多少钱(例如:每年增加20%)。

Answer 1

没有“足够的”计数，因为用户选择的密码总是非常弱，不管你如何指导他们。你希望计数是你能容忍的最高值。

记住，增加迭代次数机械地增加了操作成本。因此，您必须将计数设置为一个足够低的值，以便您的计算机仍然能够及时处理密码。这是一种您必须自己进行的分析，因为它取决于您的硬件和预期的峰值负载，以及用户对延迟的容忍度。较高的迭代次数往往会增加拒绝服务攻击的脆弱性。

您不需要定期增加迭代次数来匹配“平均技术”。当您负担得起时，就会增加迭代次数，这并不取决于更快的服务器的一般可用性，而取决于您实际购买和使用的服务器。因此，当您购买新硬件时，您就计划增加迭代次数。