密码哈希的三层防御：盐、慢哈希与恒定时间比较
在讨论如何安全存储密码时，经常会遇到三个概念：盐（salt）、慢哈希（slow hash） 与 恒定时间比较（constant-time comparison）。本文以“数据库泄露后攻击者能做什么”为线索，依次看看这三者各自解决什么问题：先用盐消除批量预计算的优势，再用慢哈希提高单次破解的成本，最后用恒定时间比较堵住在线验证环节的旁路。这些概念同样适用于令牌验证、密钥派生等场景，这里以密码存储为主线。 ...
在讨论如何安全存储密码时，经常会遇到三个概念：盐（salt）、慢哈希（slow hash） 与 恒定时间比较（constant-time comparison）。本文以“数据库泄露后攻击者能做什么”为线索，依次看看这三者各自解决什么问题：先用盐消除批量预计算的优势，再用慢哈希提高单次破解的成本，最后用恒定时间比较堵住在线验证环节的旁路。这些概念同样适用于令牌验证、密钥派生等场景，这里以密码存储为主线。 ...