当你被提示您的用户有被攻破，有风险时，是否意味着你的密码已经被黑客得到了呢？也许并不是这样。为了说明这个问题，我们来看下一般网站是如何来保护并安全的存储你的密码。
通常密码会以三种方式来存储用户密码：纯文本存储，加密存储，或者使用散列函数存储。首先是纯文本形式存储，这是最危险的方式，一旦网站的数据库被攻破，所有用户的密码都会被看到，而很多人有不同网站使用相同密码的习惯，那么很可能一个密码被泄露会导致更多的账户被入侵。事实上有很多百万级用户的网站都在使用这种原始的纯文本方式来保存用户密码。
作为一种替代方法，那就是通过加密来保存密码，在保存密码之前，先将用户密码进行加密，这样数据库被攻破时，获取到的是加密后的密码，但这仍然是风险很高的，因为一旦加密的密钥泄露，加密保存的数据和纯文本就是没有区别的了。
第三种密码存储方式就是使用哈希散列来存储，哈希是如何工作的呢？哈希函数需要一个输入，可以使一段文本，如密码，或者也可以是一个文件，哈希算法会将输入最终转换成一个定长的字符串，有很多种哈希算法。哈希散列的方式和加密的方式有一个根本的不同点：哈希是单向的，你可以计算得到密码的哈希值，但是你不能通过一个哈希值计算出他的原始数据，这非常有用，通过哈希散列，网站可以验证你是否有使用正确的密码登录，但网站并没有存储的你的真实密码。
哈希算法也并不完美，大多数哈希算法都针对速度进行了优化，也就是每秒能计算的哈希值越大，通常会被认为是更好的哈希算法。这就是的哈希散列容易受到暴力攻击，通过简单重复尝试每一个可能的密码，攻击者就可以实现逆向哈希散列，现代GPU可以每秒2.92一次哈希计算，使用这种技术，破解散列密码只是时间问题，如果速度不够，攻击者也可以通过一个彩虹表来进一步加速。通过存储预先计算哈希值的表，可以用于快速的查找比较常见的密码组合。
哈希算法的速度在某些领域是积极的，越快越好，但对于机密存储这个角度，计算速度可能起到的作用并不一定是积极的，尤其是当用户使用相同的密码是，又会引入新的问题。如果Alice和Bob都是用密码“qwerty”，密码的哈希就会相同，当破解了一个他们中一个人的密码时，那么另外一个人的密码也就会被知道。你也许认为不同的人会使用相同密码的可能性很小，但事实上，”qwerty“这个密码被发现使用超过300万次。
为了抵御这些攻击，我们在对密码散列之前，可以“加盐”，盐是一些随机数据，但它可以确保您的密码哈希值始终和其他人不同，这样使用相同密码的用户，存储的哈希值就不会再相同。那么黑客再进行密码破解时，就需要对每个用户的哈希值去破解。这会减慢黑客的破解速度，但仍然是有可能的。
有些哈希算法为了解决这种问题，使用特殊的技术来特意降低哈希的计算速度，例如bcrypt， scrpyt还有argon2，他们能有效抵消暴力破解。这些算法将密码，盐和花费作为输入，成本非常有趣，他定义了算法循环的次数，通过这种特性，有效的减缓了哈希计算速度。
随着时间的推移，计算机的速度会越来越快，那么对于这些算法的暴力攻击也会变的更容易，算法要做的只是增加成本参数，那么就又能提高被破解的难度。
这就是公司存储和保护你的密码的三种可选方式，有多种方法，为什么一定要使用多种方法呢，当涉及到安全问题时，你应该尽力的将保护措施用到极致。一个例子Dropbox使用多重保护，首先，将密码做一个简单的哈希运算，它没有加盐，这只是他的第一道防线，然后它暂通过bscrpyt算法将哈希值，盐和一个值为10的开销作为输入来运算出新的哈希值，这有效的避免了暴力攻击。最后的到的哈希值再通过高级加密算法加密，而加密的密钥并不存储在数据库中而是分开存储。也就是说你要破解Dropbox的数据库，就要攻破它的每一层保护程序，这需要花费很多的时间和成本，甚至远超过破解的回报。
网友评论