咨询大佬个密码验证的问题

请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 1653 days ago, the information mentioned may be changed or developed.

Ansible 的 user 模块中，对如何生成用户密码给了集中方法，其中一种是这样实现的

/etc/ansible 13:36:09 $ python -c "from passlib.hash import sha512_crypt; import getpass; print(sha512_crypt.using(rounds=5000).hash(getpass.getpass()))" Password: $6$ugLvJs2HQIVNoXW0$F8sbBsLT/dcU/HVFVlHqNNSpxZwwpt2R4tP7cE/JvYKjQnPX137YzNaPGo6t/EwX3Ick17Gm7E7N2qD.N.A3h/ /etc/ansible 13:36:13 $ python -c "from passlib.hash import sha512_crypt; import getpass; print(sha512_crypt.using(rounds=5000).hash(getpass.getpass()))" Password: $6$EZ5ZGsr7dlFrHzS0$5vNcNAtkUw41P8NCuHpp.Um5DHoNoH8mSbmTjc0fTgH95Gq4zDFpcsnLvd4T26Zx0gSLRdBxlzkNdMHC.kLub. /etc/ansible 13:36:17 $ python -c "from passlib.hash import sha512_crypt; import getpass; print(sha512_crypt.using(rounds=5000).hash(getpass.getpass()))" Password: $6$zem4hGz27MgX4k8X$Mn6n08MCPtvCzbJTmjYVnBX/JpU7dEUKK.o0F60UA5rsbBLLLXZZb2bWRrBazpCHY.ugEPw0bgiwwvsvgfyTK/ /etc/ansible 13:38:25 $

我每次输入的密码都是 1234 ，但是生成的值是不同的，那如何验证这些不同的值是同一个密码呢

Supplement 1 Nov 25, 2021

感谢各位大佬，2L 讲的我明白了，再次感谢

8 replies 2021-11-25 18:36:44 +08:00

2i2Re2PLMaDnghL

Nov 25, 2021

这个密码存储从设计上避免了你说的这个漏洞。

yanqiyu

Nov 25, 2021

生成的值不一样是有随机加盐，不然别人拿到 hash 就可能能查表还原密码了

这类 hash 的规范就是
$<ID>$<SALT>$<PWD>
比如 $6$zem4hGz27MgX4k8X$Mn6n08MCPtvCzbJTmjYVnBX/JpU7dEUKK.o0F60UA5rsbBLLLXZZb2bWRrBazpCHY.ugEPw0bgiwwvsvgfyTK/

对应的就是
id=6 对应 SHA-512
盐是 zem4hGz27MgX4k8X
HASH=Mn6n08MCPtvCzbJTmjYVnBX/JpU7dEUKK.o0F60UA5rsbBLLLXZZb2bWRrBazpCHY.ugEPw0bgiwwvsvgfyTK/

盐每次都不一样于是后面的 hash 就不一样了

怎么解析就是拿到密码，拿到盐，按照算法算 hash （怎么算要查规范，主要是密码和盐的拼接以及 hash 迭代次数等等），看输出的 hash 是不是等于最后一段
（我猜肯定有现成的轮子）

3dwelcome

Nov 25, 2021

楼主的问题，就和 RSA 数据加密后，为什么每次加密的结果都是不一样的，是同一个道理。

说白了，这类算法，就是要“不一样”这个效果。

至于内部实现，就是楼上说的加盐或者随机 padding 。

eason1874

Nov 25, 2021

“如何验证这些不同的值是同一个密码呢”

这类密码哈希，要验证密码，不是再 hash 一次去对比，而是用配套的验证函数。要验证密码是否正确，你看文档找到对应的函数方法去调用就可以了

如果你是想做彩虹表，那别想了，随机哈希就是为了让彩虹表失效

bruce0hh

Nov 25, 2021

这种密码设计，盐是不是也要存储啊

gadfly3173

Nov 25, 2021

比如 jhash 的 pbkdf2 的实现就是

pbkdf2sha256:64000:18:24:n:yUnDokcNRbwILZllmUOItIyo9MnI00QW:6ZcPf+sfzyoygOU8h/GSoirF
算法:重复次数:hash 大小:盐大小:pepper:盐:hash

验证的时候就根据:拆分，然后重新计算一遍，比较是否符合

yin1999

Nov 25, 2021 via Android

@bruce0hh 需要存储，一般会存一起，然后和其它的 hash 之类的，用点隔开

hxndg

Nov 25, 2021

目的就是为了让你不能 “验证这些不同的值是同一个密码”