Γεννήτρια κατακερματισμού και επαλήθευσης κωδικών

Το SHA-256 σε σύγχρονη GPU τρέχει με δισεκατομμύρια εικασίες ανά δευτερόλεπτο. Ένας κωδικός 8 χαρακτήρων έχει πολύ λιγότερους από 10¹³ συνδυασμούς — ώρες χρόνου GPU, λεπτά σε μεγάλη διάταξη. Οι συναρτήσεις κατακερματισμού κωδικών (KDF) το αντιμετωπίζουν με παραμέτρους κόστους: το bcrypt επαναλαμβάνει τον πυρήνα του 2^cost φορές, το PBKDF2 επαναλαμβάνει HMAC εκατοντάδες χιλιάδες φορές, και τα scrypt και Argon2id ζητούν επιπλέον megabyte μνήμης ανά εικασία, ώστε οι GPU (γρήγορες αλλά φτωχές σε μνήμη ανά πυρήνα) να χάνουν το πλεονέκτημά τους. Ένα salt — τυχαίο, αποθηκευμένο ως καθαρό κείμενο μέσα στη συμβολοσειρά κατακερματισμού — σταματά τους προϋπολογισμένους rainbow tables και αναγκάζει κάθε εικασία να υπολογίζεται εκ νέου για κάθε χρήστη.

Μια GPU έχει χιλιάδες πυρήνες, αλλά κάθε πυρήνας έχει πρόσβαση σε λίγη γρήγορη μνήμη. Μια KDF που χρειάζεται 19 MiB ενεργού συνόλου ανά εικασία περιορίζει τον επιτιθέμενο σε τόσες παράλληλες εικασίες όσα τμήματα 19 MiB μνήμης διαθέτει — γι' αυτό το Argon2id στα 19 MiB μπορεί στην πράξη να είναι ισχυρότερο από το bcrypt με κόστος 15, παρόλο που χρειάζεται λιγότερο πραγματικό χρόνο στον φορητό υπολογιστή. Το PBKDF2 δεν έχει απάντηση σε αυτό: ο μόνος του μοχλός είναι το πλήθος επαναλήψεων, και το πυρίτιο κλιμακώνει αυτό γραμμικά.

Η μορφή modular-crypt / PHC περιγράφει τον εαυτό της: στο $argon2id$v=19$m=19456,t=2,p=1$ICEiIyQlJicoKSorLC0uLw$WTGpK4hf... τα πεδία είναι ο αλγόριθμος, η έκδοση, οι παράμετροι (m = μνήμη σε KiB, t = περάσματα, p = λωρίδες), το salt σε base64, ο κατακερματισμός σε base64. Το bcrypt προηγείται του προτύπου και χρησιμοποιεί τη δική του συμπαγή μορφή: $2b$ παραλλαγή, 12 κόστος, και έπειτα salt και κατακερματισμός στη δική του αλφάβητο base64 του bcrypt (./A-Za-z0-9). Η Επαλήθευση αυτής της σελίδας δέχεται όλα αυτά και εμφανίζει τα αναλυμένα πεδία — με επικόλληση οποιουδήποτε κατακερματισμού και προβολή της ανάλυσής του.

• Γρήγορος κατακερματισμός για κωδικούς. Οι στήλες κωδικών με MD5/SHA-1/SHA-256 πέφτουν σε GPU καταναλωτικής αγοράς με δισεκατομμύρια εικασίες ανά δευτερόλεπτο. Για αρχεία και δεδομένα χρησιμοποιείται η Γεννήτρια κατακερματισμού· για κωδικούς οι αλγόριθμοι αυτής της σελίδας.
• Κοινή χρήση salt. Ένα salt για όλους τους χρήστες σημαίνει ότι ίσοι κωδικοί έχουν ίσους κατακερματισμούς και οι rainbow tables επιστρέφουν. Κάθε κατακερματισμός εδώ παίρνει νέο τυχαίο salt 16 byte.
• Αγνόηση των 72 byte του bcrypt. Τα "a"*100 και "a"*72 δίνουν πανομοιότυπο κατακερματισμό — η ουρά αποκόπτεται. Αυτή η σελίδα προειδοποιεί στο πλαίσιο εισόδου όταν ο κωδικός υπερβαίνει τα 72 byte. Το Argon2 δεν έχει τέτοιο όριο.
• Σύγκριση κατακερματισμών με == σε κώδικα εφαρμογής. Η επαλήθευση πρέπει να είναι σταθερού χρόνου· ο κινητήρας της σελίδας το κάνει εσωτερικά (επαναϋπολογίζει και συγκρίνει τα αποθηκευμένα byte), αλλά αν αντιγραφεί η προσέγγιση, πρέπει να χρησιμοποιηθεί σύγκριση σταθερού χρόνου.
• Ρύθμιση παραμέτρων σε γρήγορο μηχάνημα ανάπτυξης. Στόχος είναι ~250–500 ms κατακερματισμού στο διάμεσο υλικό των παραγωγικών χρηστών, όχι του σταθμού εργασίας. Το κουμπί Σύγκρισης δείχνει τι βιώνει πραγματικά αυτό το πρόγραμμα περιήγησης.
• Επανακατακερματισμός σε κάθε έλεγχο σύνδεσης. Η επαλήθευση γίνεται πρώτα· ο επανακατακερματισμός (π.χ. για αύξηση του κόστους) γίνεται μόνο μετά από επιτυχή επαλήθευση, και αποθηκεύεται η νέα συμβολοσειρά. Η συνάρτηση PHP password_needs_rehash() υπάρχει ακριβώς για αυτό.

Ποιον να επιλέξω; Argon2id με τουλάχιστον τα ελάχιστα του OWASP. Αν το περιβάλλον εκτέλεσης δεν το προσφέρει: scrypt, έπειτα bcrypt (με κόστος ώστε ο κατακερματισμός να διαρκεί ≥250 ms). Το PBKDF2 μόνο όπου το απαιτεί η πιστοποίηση.

Γιατί εμφανίζεται ένα τυχαίο salt στη συμβολοσειρά εξόδου; Το salt δεν είναι μυστικό — αποθηκεύεται σκόπιμα ως καθαρό κείμενο μέσα στη συμβολοσειρά PHC, ώστε η επαλήθευση να χρειάζεται μόνο τη συμβολοσειρά και τον υποψήφιο κωδικό. Ο ρόλος του είναι η μοναδικότητα, όχι η μυστικότητα.

Έχει σημασία η παραλλαγή ($2a$ / $2b$ / $2y$); Για κωδικούς ASCII παράγουν πανομοιότυπους κατακερματισμούς· το $2a$ είναι το αρχικό της δεκαετίας του 1990, το $2b$ διόρθωσε ένα σπάνιο σφάλμα επέκτασης προσήμου (2014), και το $2y$ είναι η ένδειξη της PHP ότι η διόρθωση είναι παρούσα. Η επαλήθευση δέχεται και τα τρία.

Πόσο πρέπει να διαρκεί ένας κατακερματισμός; Περίπου 250–500 ms ανά σύνδεση σε διακομιστή. Κάτω από 100 ms η εκτός σύνδεσης αποκρυπτογράφηση είναι φθηνή· πάνω από 1 s οι χρήστες παραπονούνται πριν βελτιωθεί η ασφάλεια.

Μπορώ να επαληθεύσω κατακερματισμό που παράχθηκε αλλού; Ναι — με επικόλληση του και με δήλωση του υποψήφιου κωδικού. Γνωστές καλές μορφές: PHP password_hash (bcrypt $2y$ και Argon2id), Python passlib, ο hasher argon2 του django, και η μορφή συμβολοσειράς scrypt που χρησιμοποιεί το εργαλείο scrypt του Tarsnap.

Τι κάνει το κουμπί «Σύγκριση»; Κατακερματίζει τον τρέχοντα κωδικό μία φορά με κάθε αλγόριθμο στις προεπιλεγμένες παραμέτρους της σελίδας και αναφέρει τον πραγματικό χρόνο σε αυτό το πρόγραμμα περιήγησης — μια εικόνα των διαφορών κόστους, όχι αυστηρή μέτρηση.