密码哈希：bcrypt、Argon2、PBKDF2

以明文存储密码是灾难性的——一次数据库泄露就会暴露所有账户。密码在存储前必须经过单向函数处理，这样即使有人访问数据库，也无法得出原始密码。

哈希函数会将任意长度的输入转换为固定长度的输出。同一个输入始终产生相同的输出，但无法从哈希值恢复原始内容。示例包括：SHA-256、bcrypt 和 Argon2。

SHA-256 这类通用哈希函数的设计目标是高速运行。攻击者可以利用 GPU 每秒计算数十亿个 SHA-256 哈希值，使暴力破解变得可行。

密码哈希处理需要使用速度慢且计算成本高的函数。

盐值是在每个密码进行哈希处理前加入的随机值。它可以确保使用相同密码的两个用户得到不同的哈希值，从而防止彩虹表攻击和批量破解。盐值会与哈希值一同存储（无需保密）。

bcrypt 于 1999 年专门为密码哈希处理而设计。它具有可配置的成本因子，用于控制哈希处理的缓慢程度。随着硬件性能提升，应提高成本因子以维持安全性。

目前常见的成本因子为 12，在现代 CPU 上完成一次哈希处理约需 250 毫秒。

PBKDF2（基于密码的密钥派生函数 2）会多次应用哈希函数（例如 HMAC-SHA256），这个次数称为迭代次数。迭代次数越多，处理速度越慢，安全性越高。NIST 推荐使用它，WPA2 也用它处理 Wi-Fi 密码。

Argon2 于 2015 年赢得密码哈希竞赛，是现代标准。它可以配置以下参数：

• 时间成本——迭代次数
• 内存成本——所需 RAM（限制 GPU 加速）
• 并行度——线程数

对于大多数应用，请使用 Argon2id。

彩虹表是预先计算好的哈希值到明文的查找表。不加盐时，拥有哈希值的攻击者可以立即在表中查到对应内容。加盐会使每个哈希值都具有唯一性，从而让彩虹表失去作用。

常见的离线破解方法：

• 字典攻击——尝试常见密码及其变体
• 暴力破解——尝试所有字符组合
• 基于规则的破解——对字典应用变换规则（添加年份、改为首字母大写、进行字母数字替换）
• 工具：Hashcat、John the Ripper

新应用的优先选择顺序：

1. Argon2id——最能抵抗 GPU/ASIC 破解
2. bcrypt——支持广泛，经过实践验证
3. PBKDF2——获 NIST 批准，在某些合规场景中为必需

密码绝不能使用：MD5、SHA-1 或未加盐的 SHA-256。

当用户登录时：

1. 获取该用户已存储的哈希值和盐值
2. 使用相同的盐值和算法对提交的密码进行哈希处理
3. 将生成的哈希值与已存储的哈希值进行比较（使用恒定时间比较）
4. 绝不解密——仅进行比较

哪种密码哈希算法被认为是当前的最佳实践，并且曾在密码哈希竞赛中获胜？

密码必须以哈希值形式存储，而不是以明文形式存储。SHA-256 这类快速算法并不适合此用途——请使用缓慢的密码哈希函数：Argon2id（首选）、bcrypt 或 PBKDF2。始终为每个密码使用随机盐值，以防范彩虹表攻击。绝不要自行编写密码学算法——请使用经过验证的库。