Beim Versuch, Hash-Passwörter zu verwenden, kann der Angreifer immer dieselbe Art von Hardware wie der Verteidiger verwenden. Was der Angreifer versucht, ist, es besser zu machen, indem er spezielle Hardware verwendet, die es ihm ermöglicht, N potenzielle Passwörter zu geringeren Gesamtkosten zu hashen, als wenn er die Hardware des Verteidigers verwenden würde. Die Gesamtkosten umfassen die Kosten für den Kauf der Hardware, die Kosten für die Entwicklung der entsprechenden Software und dann die Kosten für den Betrieb der Hardware, die sich im Wesentlichen auf den verbrauchten Strom (für die Stromversorgung der Hardware und) belaufen zum Abkühlen). Für einen ernsthaften Angreifer dominieren die Energiekosten.

Immer wenn es eine Operation gibt, die der Angreifer billiger als der Verteidiger ausführen kann, gewinnt der Angreifer. Ein wichtiger Punkt ist, dass das Knacken von Passwörtern ein peinlich paralleles Problem ist: Per Definition hat der Angreifer viele potenzielle Passwörter zum Ausprobieren.

Angenommen, Sie kaskadieren Drei verschiedene Hash-Funktionen Hash1 , Hash2 und Hash3 . Dies bedeutet, dass der Verteidiger alle drei Implementierungen zur Hand haben muss, die alle auf seinem Server ausgeführt werden. Der Angreifer hingegen kann eine bessere Planung haben: Er kann (sagen wir) eine Million potenzieller Passwörter mit Hash1 hashen und die Ergebnisse in einem Puffer speichern. Schalten Sie dann die Hardware auf etwas um, das Hash2 anwendet, und führen Sie sie über die Millionen gespeicherten Ausgaben des vorherigen Schritts aus. Speichern Sie dort erneut die Hash2 -Ausgänge in einem Puffer. Endlich wieder Hardware wechseln, mit Hash3 .

Diese Art der "Hardware-Umschaltung" ist besonders relevant bei Verwendung von FPGA: Jede "Umschaltung" ist eine Neuprogrammierung von der gleichen tatsächlichen Hardware, und ist eine Frage von höchstens ein paar Sekunden. Durch die Verwendung einer solchen Planung und Pufferung sind die "Umschalt" -Kosten vernachlässigbar.

Dies kann auch als Pipelining verwendet werden: Wenn der Angreifer drei spezialisierte Maschinen erstellt hat, eine für Hash1 , eine für Hash2 und eine für Hash3 , dann kann er Hash1 mit dem ersten möglichen Kennwort ausführen und dann die Ausgabe an den Computer senden, der Hash2 berechnet. Während der zweite Computer Hash2 berechnet, kann der erste Computer Hash1 für ein anderes potenzielles Kennwort berechnen. Und so weiter. In der Praxis kann der Angreifer jederzeit alle seine Spezialmaschinen voll belegen und so über Ihre Versuche einer "erhöhten Stärke" lachen.

Außerdem, wenn drei verschiedene Hash-Funktionen implementiert werden müssen und nur eine von ihnen können mit spezieller Hardware optimiert werden, dann erhält der Angreifer immer noch einen Gewinn, indem er diese optimiert. Um es grob zu sagen: Wenn Sie bcrypt, scrypt und SHA-256 kaskadieren, verwendet der Angreifer einen PC für die ersten beiden und eine GPU für den SHA-256 und vermeidet so etwa 1/3 der Kosten / p>

Zusammenfassend ist die Intuition, dass "das Mischen einer Reihe verschiedener Hash-Algorithmen zusätzliche Stärke bieten sollte" falsch. Es macht das Gegenteil. Ein solches Mischen erhöht die Entwicklungs- und Nutzungskosten für den Verteidiger, verlangsamt jedoch nicht den Angreifer (der von viel Parallelität profitiert) und erhöht die Optimierungsoptionen des Angreifers.

(All dies ist sagte, ohne über praktische Dinge zu sprechen, wie das Management der einzelnen Salze für alle kaskadierten Funktionen und die Gefahren der hausgemachten Kryptographie.)

Ich wurde gebeten, meinen Kommentar zu einer Antwort zu machen.

Grundsätzlich habe ich gesagt, dass bcrypt, scrypt und pbkdf2 selbst keine Hashes sind, sondern KDFs (Key-Ableitungsfunktionen). . KDFs basieren auf HMAC-Algorithmen, die wiederum auf Einweg-Hashing-Algorithmen wie SHA-256 basieren, um die Message Digest-Werte zu generieren.

Es ist bereits ein erhebliches Mischen, Rühren und Schütteln erforderlich, um einen Wert zu erhalten aus einem KDF heraus.

Auch wenn das Mischen der Ausgabe mehrerer KDFs die Gesamtsicherheit nicht schwächt, wird sie wahrscheinlich nicht wesentlich verbessert.

So kopieren Sie meine Antwort auf eine ähnliche Frage zu progs.SE:

das Problem mit

  hash1 (hash2 ( hash3 (... hashn (pass + salt) + salt) + salt) ...) + salt)  

ist, dass dies nur so stark ist wie die schwächste Hash-Funktion in der Kette . Wenn beispielsweise Hash (der innerste Hash) eine Kollision ergibt, führt die gesamte Hash-Kette zu einer Kollision ( unabhängig davon, welche anderen Hashes in der Kette sind).

Eine stärkere Kette wäre

  hash1 (hash2 (hash3 (... hashn (pass + salt) + pass + salt) + pass + salt) ...) + pass + salt)  

hier vermeiden wir das Problem der frühen Kollision und generieren im Wesentlichen ein Salz, das vom Passwort für den endgültigen Hash abhängt.

und wenn ein Schritt in der Kette kollidiert, spielt es keine Rolle, weil in der Im nächsten Schritt wird das Passwort erneut verwendet und sollte für verschiedene Passwörter ein anderes Ergebnis liefern.

Wenn Sie verschiedene Hash-Algorithmen verwenden, erhalten Sie nicht mehr Entropie, sondern weniger. Ich denke, Sie haben den Ausdruck «Die Sicherheit ist nicht stärker als der schwächste Punkt» gehört, das gilt auch hier. Die Entropie davon ist nicht größer als die des schwächsten Algorithmus.

Wenn Sie das Kennwort jedoch mehrmals mit demselben Algorithmus hacken, erhalten Sie mehr Sicherheit. Verwenden Sie jedoch einen starken Hashing-Algorithmus für einige Runden anstelle eines schwachen Algorithmus für viele Runden. Beispiel: Dies ist sicherer:

  sha512 (sha512 (sha512 (Passwort + Salt)))  

als:

  sha1 (sha1 (sha1 (sha1 (sha1 (sha1 (... sha1 (Passwort + Salz) ...)))))  

Ich sehe, dass es Leute gibt, die nicht Ich glaube nicht daran und möchte, dass ich es beweise. Nehmen wir ein Beispiel. Ich habe drei Hashing-Algorithmen ausgewählt, SHA256, SHA1 und MD5.

Wenn wir also haben:

  sha256 (sha1 (md5 (Passwort + Salt)));  

Zuerst werden das Passwort und das Salt mit dem MD5 gehasht Die Ausgabe ist 128 Bit groß, sodass die Gesamtmöglichkeiten der MD5-Ausgabe 2 ^ 128 betragen. Dann wird die MD5-Summe mit SHA1 gehasht, aber Sie müssen nicht alle Möglichkeiten hashen, sondern nur die 2 ^ 128 als MD5-Ausgänge. Dann wird die SHA1-Summe mit SHA256 gehasht, aber wieder. Es ist nicht notwendig, alle Möglichkeiten von SHA256 zu hashen, sondern nur die 2 ^ 128 Möglichkeiten, die MD5 erzeugt. Dieser Hashing-Algorithmus kann also wie der MD5 nur eine Ausgabe mit einer Entropie von 2 ^ 128 erzeugen. Und MD5 weist mehrere Schwachstellen auf, sodass die tatsächliche Stärke weniger als 2 ^ 128 beträgt.

Das Mischen von Hashes führt normalerweise zur Sicherheit des schwächsten Hashs in der Kette, nämlich:

• Erste Vorbildresistenz
• Zweite Vorbildresistenz
• Kollision Widerstand

Anstatt Hashes zu mischen, ist die CPU-Leistung normalerweise am besten auf Hashing mit mehr Bytes gerichtet.

Mit anderen Worten, wenn das Hashing mit zwei Algorithmen N Joule Arbeit erfordert und zu weniger Sicherheit führt, verwenden Sie einfach SHA512 anstelle von SHA256, und Sie sind sicherer.

Hashes sollten nicht gestapelt werden. Vielmehr sollte das Ergebnis mehrerer Hashes zusammen XOR-verknüpft werden. Ein solches Grundelement (das XORs mehrere glaubwürdige Hash-Funktionen zusammenfasst) kann in der Schleife von PBKDF oder ähnlichem verwendet werden, um Ergebnisse zu erzielen, die dem Stapeln von Hash-Funktionen weit überlegen sind. Was bei der Kosten-Nutzen-Analyse berücksichtigt werden muss, ist, dass ein solches Protokoll viel zusätzliche Arbeit erfordert, um von den Guten implementiert zu werden, und es gibt keine Beweise dafür, dass die schlechten Käufe SHA-256 brechen können.

Wenn Sie von:

  myhash = Hash1 (Hash2 (Hash3 (Passwort ^ salt)))  

... zu ...

  myhash = Hash1 (Passwort + Salz + Hash2 (Passwort + Salz + Hash3 (Passwort ^ Salz)))  

... dann haben Sie vielleicht reduzierte das Risiko einer Kollision von Hash1 ...