كلمات المرور والملح والتجزئة البطيئة

فكرة جديدة

تسرّب البصمات يبقى تسرّبًا

موقع يحفظ تجزئات كلمات المرور فقط، ثم تسرّبت قاعدة بياناته. هل نحن في أمان؟ ليس تمامًا. كلمة المرور نفسها تعطي دائمًا التجزئة نفسها، لذا فالمستخدمان اللذان لهما التجزئة نفسها لهما كلمة المرور نفسها.

والأسوأ أن المهاجمين يستعدون مسبقًا. يحسبون تجزئة ملايين كلمات المرور الشائعة مرة واحدة، ويحتفظون بـجدول بحث (lookup table) ضخم من التجزئة إلى كلمة المرور. رأيت 5e884898… في التسريب؟ الجدول يقول إنها password. اختُرقت فورًا.