Käytä sovelluksessasi enimmäiskierrosten lukumäärää, joka on siedettävä ja suorituskykyinen. Kierrosten lukumäärä on hidastumiskerroin, jota käytät sillä perusteella, että normaalissa käyttöolosuhteissa tällaisella hidastumisella on sinulle merkityksetön vaikutus (käyttäjä ei näe sitä, ylimääräiset suorittimen kustannukset eivät tarkoita isomman palvelimen ostamista ja pian). Tämä riippuu suuresti toimintaympäristöstä: mitä koneita kyseessä on, kuinka monta käyttäjän todennusta sekunnissa ... joten kaikille sopiva vastaus ei ole.

Laaja kuva menee näin:

• Järjestelmän yksittäisen salasanan vahvistusaika on v . Voit säätää tätä aikaa valitsemalla kierrosten lukumäärän PBKDF2: ssa.
• Mahdollinen hyökkääjä voi kerätä f kertaa enemmän suorittimen virtaa kuin sinä (esim. Sinulla on yksi palvelin ja hyökkääjällä on 100 isoa tietokonetta, joista jokainen on kaksi kertaa nopeampi kuin palvelimesi: tämä johtaa f=200).
• Keskimääräisellä käyttäjällä on entropian salasana n bittiä (tämä tarkoittaa, että käyttäjän salasanan arvoittaminen sanalla "uskottavat salasanat" vie keskimäärin 2 ^n-1 yritystä).
• Hyökkääjä löytää järjestelmäsi hyökkäyksen arvoisen, jos keskimääräinen salasana voidaan murtaa alle p ajassa (se on hyökkääjän "kärsivällisyys").

Tavoitteenasi on, että yhden salasanan rikkomisen keskimääräiset kustannukset ylittävät hyökkääjän kärsivällisyyden, jotta hän ei edes yritä, ja keskittyy edelleen toiseen, helpompaan kohteeseen. Yllä kuvattujen merkintöjen avulla tämä tarkoittaa, että haluat:

v · 2 ^n-1 > f · p

p on sinun hallinnassasi; se voidaan arvioida käyttäjän salasanoilla suojattujen tietojen ja järjestelmien arvon suhteen. Oletetaan, että p on yksi kuukausi (jos se kestää yli kuukauden, hyökkääjä ei vaivaudu yrittämään). Voit pienentää f ostamalla isomman palvelimen; Toisaalta hyökkääjä yrittää tehdä f isommaksi ostamalla isompia koneita. Raskauttavaa on, että salasanojen murtaminen on häpeällisesti rinnakkainen tehtävä, joten hyökkääjä saa suuren tehon käyttämällä GPU: ta, joka tukee yleistä ohjelmointia; joten tyypillinen f vaihtelee edelleen muutaman sadan luokasta.

n liittyy salasanojen laatuun, johon voit jotenkin vaikuttaa tiukan salasananvalintakäytännön kautta, mutta realistisesti sinulla on vaikea saada n arvoa, joka ylittää esimerkiksi 32 bittiä. Jos yrität ottaa käyttöön vahvempia salasanoja, käyttäjät alkavat aktiivisesti taistella sinua vastaan ​​kiertotavoilla, kuten muualta saatavien salasanojen uudelleenkäytöllä, salasanojen kirjoittamisella muistilappuille ja niin edelleen.

Joten jäljellä oleva parametri on v . Kun f = 200 (hyökkääjä, jolla on tusina hyvää grafiikkasuoritinta), yhden kuukauden kärsivällisyys ja n = 32 , sinun on v oltava vähintään 241 millisekuntia (Huomaa: Kirjoitin alun perin "8 millisekuntia" tähän, mikä on väärin - tämä on yhden päivän kärsivällisyys yhden kuukauden sijaan). Joten sinun pitäisi asettaa kierrosten määrä PBKDF2: ssa siten, että sen laskeminen yhdellä salasanalla vie vähintään niin paljon aikaa palvelimellasi. Pystyt silti vahvistamaan neljä salasanaa sekunnissa yhdellä ytimellä, joten suorittimen vaikutus on todennäköisesti vähäinen (*). Itse asiassa on turvallisempaa käyttää enemmän kierroksia kuin, koska tunnustetaan tosiasia, että 32 bitin arvoisen entropian saaminen keskimääräisestä käyttäjän salasanasta on hieman optimistista; toisaalta, harvoissa hyökkäyksissä ei käytetä kymmeniä tietokoneita yhden kuukauden ajan yhden salasanan murtamiseen, joten ehkä yhden päivän "hyökkääjän kärsivällisyys" on realistisempi, mikä johtaa salasanan tarkistuskustannuksiin 8 millisekuntia.

Joten sinun on tehtävä muutama vertailuarvo. Edellä mainittu toimii myös niin kauan kuin PBKDF2 / SHA-256-toteutus on nopeaa. Esimerkiksi, jos käytät täysin C # / Java-pohjaista toteutusta, saat tyypillisen 2-3 hidastuskertoimen (verrattuna C: hen tai kokoonpanoon) suoritinta vaativiin tehtäviin; yllä olevissa merkinnöissä tämä vastaa f : n kertomista 2: lla tai 3: lla. Vertailun lähtötilanteena 2,4 GHz: n Core2-keskusyksikkö voi suorittaa noin 2,3 miljoonaa SHA-256-peruslaskentaa sekunnissa (yhdellä ydin), joten tämä merkitsisi kyseisessä suorittimessa noin 20000 kierrosta "8 millisekunnin" tavoitteen saavuttamiseksi.

(*) Huolehdi siitä, että salasanan vahvistamisen kallistaminen myös tekee palvelimestasi alttiimpia palvelunestohyökkäyksille. Sinun tulisi soveltaa joitain perustoimia, kuten tilapäisesti mustalle listalle asiakkaiden IP-osoitteet, jotka lähettävät liikaa pyyntöjä sekunnissa. Sinun on kuitenkin tehtävä se, jotta voit estää online sanakirjahyökkäykset

Suorita openssl speed komentorivillä saadaksesi käsityksen siitä, kuinka nopeasti sanomat sulautuvat. Voin laskea noin 1,6 miljoonaa sha256-hajautusta sekunnissa tai noin 145 miljardia arvausta päivässä neliytimisellä 2,2 GHz: n hiekkasillallani. Jos jollakin on salasana, joka on englanninkielisessä sanakirjassa ja käyttää yhtä sha256-kierrosta, sanaluettelon lataaminen levyltä kestää kauemmin kuin luettelon iterointi hajoamisen rikkomiseksi. Jos teit PKBDF2-SHA256: n muutamalla sadalla tuhannella kierroksella, murtuminen kestää muutaman minuutin. Vahvan salasanakäytännön noudattaminen auttaa paljon .

Todellinen vastaus: Kuinka paljon aikaa sinun on poltettava?

Thomasin vastaus tarjoaa hyödyllisen perusmallin ja tiedot. Mutta hänen asettamallaan tavoitteella ei ole minulle järkeä. Tyypillinen hyökkääjä tietää iteraatiomäärän vasta, kun hän on todella hakkeroinut sivuston ja tarttunut hash-tietokantaan. Sen jälkeen he eivät edetä vain siksi, että käytät suurta iterointilukua. He yrittävät murtaa niin monta kuin pystyvät, ja julkistaa hajautukset, joten muut yrittävät murtaa ne tulevina vuosina yhä tehokkaammalla laitteistolla. Joten "p" ja "f" lisääntyvät molemmat kauan hakkeroinnin jälkeen.

Todellisia käyttäjän salasanoja ei myöskään ole mallinnettu monimutkaisuusmittarilla, kuten 32 bittiä entropiaa. Artikkelista Reusable Security: New Paper on Password Security Metrics on hyödyllistä tässä suhteessa, ja se dokumentoi sen, mitä olemme jo pitkään tunteneet: monet käyttäjät valitsevat helposti arvattavat salasanat, ja siellä on pitkä pyrstö. Tämä tarkoittaa myös sitä, että hyökkääjät löytävät aina joitain, jos he yrittävät tarpeeksi kovasti.

Sanoisin, että todennäköisempi tavoite olisi suojata mahdollisimman suuri osa käyttäjistäsi salasanojen murtumiselta. Esim. PDF: n taulukosta 4.2.1 käy ilmi, että jos onnistut rajoittamaan hyökkääjääsi jonkin hyökkäyskampanjan aikana keskimäärin miljoonasta yrityksestä hajautuksesta 500 000: een, saatat suojata 5%: n salasanat. käyttäjiäsi (olettaen, että sekoitus sisältää enemmän 7-merkkisiä salasanoja kuin yli 8-merkkisiä salasanoja, mikä vähentää säröillä olevaa osuutta 35 prosentista 30 prosenttiin). Tietysti käyrän tarkka muoto ja sijainti siinä vaihtelevat suuresti.

Joten haluaisin vain enimmäismäärän, jonka voit budjetoida, kunhan se ei viivästy todelliset käyttäjät, jotka kirjautuvat normaalisti. Ja sinun pitäisi lisätä arvoa, kun laskentakapasiteetti kasvaa vuosien varrella.

Ota tämä hyvin pitkäksi kommentiksi. Olin utelias, kuinka nopeasti tavarat kulkevat henkilökohtaisella kannettavalla tietokoneellani (Thinkpad T460p, Intel i7-6700HQ). Tiedän, että suolattujen salasanojen murtamiseen on olemassa erityislaitteita, mutta jos sinulla on verkkopalvelu, sinulla ei todennäköisesti ole erityistä laitteistoa sitä varten.

Arvioinnin tulokset

Oletusarvo on werkzeug.security.generate_password_hash on tällä hetkellä (2019-06-01) pbkdf2:sha256:150000.

Kuten voit katso, suoritusaika kasvaa lineaarisesti kierrosten / iteraatioiden määrän kanssa. Tämä tarkoittaa, että oletus kestää keskimäärin 281 ms koneellani.

  sha512, 1 iterointi: min: 67,1μs, keskiarvo: 72,2μs, maksimi: 310,9μssha512, 15000 iterointi: min: 38462,8μs, keskiarvo: 40291,2μs, max: 44842,4μssha256, 15000 iterointi: min: 27167,6 μs, keskiarvo: 28118,0 μs, maks .: 30826,0μssha512, 1000 iteraatiota: min: 2636,7μs, keskiarvo: 2694.3μs, maks .: 3579.0μssha256, 1000 iteraatio: min: 1870.7μs, keskiarvo: 1888.8μs, max: 2477.0μsmd5, 15000 iteraatio: min: 21126,2μs, keskiarvo: 21864.8μs, maks .: 23799.3μssha512, 1 iterointi: min: 23.4μs, keskiarvo: 26.9μs, max: 40.6μssha512, 1000 iteraatio: min: 2586.7μs, keskiarvo: 2761.1μs, maks .: 3120,6μssha256, 1000 iteraatiota: min: 1823,3μs, keskiarvo: 1834,6μs, max: 2008,5μssha512, 15000 iteraatio: min: 38507,9μs, keskiarvo: 40210,8μs, max: 47430,3μssha256, 15000 iteraatio: min: 27257,1μs, keskiarvo: 28454,0 μs, max: 31213.5μsmd5, 15000 iterointi: min: 21219.9μs, keskiarvo: 21842.4μs, maks .: 24305.0μs  

C ode

Moderni kone, joka on varustettu kahdeksalla nykyisen sukupolven grafiikkasuoritimella, laskee noin 9 miljardia SHA-256 hashia sekunnissa tai noin 777 triljoonaa hashia päivässä, ja nämä GPU: t voivat suorittaa sääntöihin perustuvia sanakirjahyökkäyksiä.