passwords - 我应该将盐值发送到网络浏览器以保护密码吗

Question

我已经阅读了关于保护密码免受某些攻击的加盐哈希密码技术。https://www.owasp.org/index.php/Hashing_Java#Why_add_salt_.3F

但是我有些困惑，我应该发送一个盐值（所有使用尝试登录）然后使用 Javascript 计算该盐的哈希值吗？

我认为这有助于提高安全性。但我不确定，我没有看到有人使用这种方式。

提前致谢。

Answer 1

一个攻击案例：您的服务器被入侵，攻击者读取数据库并获取哈希，攻击者制作 HTTP 请求并将哈希直接发送到您的服务器并登录用户帐户。在这种情况下，安全性会进一步降低。

salt用于防止相同的密码出现在攻击者面前，从而可以防御攻击者入侵您的服务器并获取用户名和哈希以进行离线密码破解的情况。