Зачем сайты хранят хеши паролей
Подтверждено: объяснение основано на установленных данных.
При регистрации добросовестный сайт пропускает пароль через хеш-функцию — одностороннее вычисление, превращающее его в перемешанную строку. Хранится только результат. При входе сайт хеширует то, что вы ввели, и сравнивает; если совпало — вы внутри, а сам пароль сайт так и не сохраняет.
Коротко
Хеш позволяет проверить введенный пароль, не сохраняя его в открытом виде.
Самое интересное
Перед хешированием к паролю добавляют соль — случайное значение, отдельное для каждой учетной записи. Благодаря этому одинаковые пароли дают разные хеши, а заранее рассчитанная таблица не подходит сразу ко всей базе.
Ещё одна деталь
Алгоритмы хеширования паролей специально требуют заметных вычислительных затрат. Их настраивают так, чтобы проверка оставалась приемлемой для пользователя, а массовый перебор обходился дорого. Единого числа повторений для всех алгоритмов и устройств нет.
Подробнее
- Если сайт может прислать вам старый пароль по почте, он его не хеширует.
- По рекомендации NIST каждая соль должна быть длиной не меньше 32 бит.
- Изменение одного символа пароля полностью меняет его хеш.