Hol tárolnátok a sót?

"No a sót, nem lehet az adatbázisba rakni a jelszó mellé, mert az egy informatika biztonsági hiba lenne"

Miért lenne biztonsági hiba? Tudod egyáltalán mi a salt célja?

"..dictionary attack ellen hatásos, egy rainbow table-nek ellenben teljesen mindegy.."

Nem igazán. A dictionary attack ellen egyáltalán nem hatásos, csak egy kicsit meglassítja, ellenben a rainbow table támadást kivitelezhetetlenné teszti. Mivel főként az utóbbi a valós fenyegetés, ezért érdemes alkalmazni.

"No a sót, nem lehet az adatbázisba rakni a jelszó mellé, mert az egy informatika biztonsági hiba lenne."

A só általában egy generált szó. Hol máshol tárolnád ezt, mint az általa sózott hash mellett?

Persze lehet statikus sót is alkalmazni és elhelyezni azt egy konfigurációs fájlban, csak ennek pont nincsen értelme ebben a szituációban, mert a statikus só brute force-al kideríthető.

"Persze lehet statikus sót is alkalmazni és elhelyezni azt egy konfigurációs fájlban, csak ennek pont nincsen értelme ebben a szituációban, mert a statikus só brute force-al kideríthető."

Ezt mér peppernek hivjak.

általánosságban ugy szoás, hogg:-

jelszo hash = hash(jelszó + salt + pepper)

Ahol a salt egyedi minden userhez és az adatbázisban van a jelszó hash mellett.

A pepper pedig ugyanaz mindenkinek és a konfigurációban (vagy esetleg a kódban) van.

#9.. hívhatod statiskus salt-nak, de ez a pepper.

A saltnak egyedinek kéne lennie minden jelszóhoz.

[link]

tehát ez leginkább az sql injection ellen vagy az ellen véd, ha megszerzik valahogy az adatbázist, de az alkalmazást (/annak a konfigurációs fájlját) nem.

Az általad statiskus salt-nak hívott dologgal csak annyit érsz el, hogy nem fognak tudni az interneten rákeresni a hashre, de ugyanugy épithetnek rainbow táblát.