Nota video

Teks penuh video

Kalau kau simpan kata laluan semua pengguna dalam buku nota terbuka kat atas rak, sesiapa yang lalu boleh baca dan log masuk jadi sesiapa sahaja! Tapi bila penggodam berjaya curi pangkalan data, semua kata laluan terus terdedah dan boleh diguna kat laman lain! Jadi, setiap kata laluan masuk mesin pengisar sehala yang hasilkan cap jari tetap yang tak boleh diterbalikkan, dan masa log masuk sistem cuma bandingkan cap jari.

Ini namanya password hashing. Tapi penggodam dah sediakan jadual gergasi berisi hash untuk berjuta kata laluan popular, iaitu rainbow table, dan mereka cuma perlu cari padanan! Jadi, sebelum dikisar, setiap kata laluan dicampur dengan rentetan rawak unik untuk setiap pengguna, sampai kata laluan yang sama pun hasilkan hash berbeza.

Salt ini disimpan terbuka bersama hash. Ini namanya salting. Tapi hash biasa terlalu laju, sampai kad grafik boleh teka berbilion kata laluan setiap saat!

Jadi, kau guna bcrypt, mesin pengisar yang sengaja perlahan dan kisar berulang ribuan pusingan, cukup pantas untuk pengguna tapi menyeksa penggodam. Ini namanya hashing perlahan dengan bcrypt. Tapi komputer makin laju setiap tahun, dan tahap yang selamat hari ini mungkin terlalu mudah dipecah esok!

Jadi, bcrypt ada tombol faktor kos, setiap kali dinaikkan satu mata kerjanya jadi dua kali ganda, dan hash lama boleh dinaik taraf bila pengguna log masuk semula. Ini namanya work factor. Tapi kalau penggodam curi pangkalan data, salt pun ikut dicuri kerana ia disimpan sebelah hash!

Jadi, kau tambah pepper, iaitu kunci rahsia yang dicampur ke setiap kata laluan tapi disimpan dalam peti besi berasingan, jauh dari pangkalan data. Ini namanya peppering. Ingat, jangan sekali-kali simpan kata laluan dalam teks biasa.

Hash dengan bcrypt yang siap campur salt unik, laraskan faktor kos, dan simpan pepper berasingan, barulah data pengguna kau jauh lebih selamat walaupun pangkalan data bocor. Lepas ni nak belajar apa pula?

Siri Teknologi dan AI dalam animasi 3D LEGO (V916-070) oleh KongsikanDotCom. Tonton lagi di