encryption - Kohana 的 auth 模块中最安全的算法是什么？

Question

我更喜欢使用 crypt 函数并使用河豚加密，但是这个模块的当前实现使用散列函数，它不提供这种加密方法。那么，Kohana 的 auth 模块中最安全的算法是什么？SHA-512 会是一个不错的选择，还是我最好修改模块以使用 crypt 和 blowfish？

Answer 1

从这个stackoverflow问题的答案： SHA512 vs. Blowfish and Bcrypt

足以说明 bcrypt 或 SHA-512 是否足够好。答案是肯定的，任何一种算法都足够安全，以至于通过实施缺陷而不是密码分析会发生违规行为。

换句话说，与尝试修改模块并可能引入新的实现错误相比，使用已经在 Kohana 中经过一定程度强化的实现似乎更明智。

Answer 2

看起来 SHA-512 是您的最佳选择。

总结 danieltalsky 回答中的链接内容，SHA-512 的坏处在于它的速度很快。这是一个很好的散列，但 SHA-512 的速度意味着拥有散列密码副本的攻击者每秒可以进行更多猜测。bcrypt 是一个慢得多的散列，因此测试密码的每次猜测需要更长的时间，因此找到用户的弱密码之一的时间也更长。

您可以尝试向 Kohana 的 auth 模块添加 bcrypt 或某种形式的拉伸，但您最好花时间确保您的服务器限制用户尝试登录的速度。