PB2的密码存储没有加Salt

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Remote Worker

这是一个创建于 4668 天前的主题，其中的信息可能已经有所发展或是发生改变。

今天读PB2代码发现的，直接用SHA1保存的。

2 条回复 • 1970-01-01 08:00:00 +08:00

ayanamist

2012-02-14 12:59:04 +08:00

估计当时@Livid 没考虑到这个问题吧。
加salt的目的是防止字典攻击，利用已有的密码和hash结果来寻找弱密码。不是为了反向破解。

m1a0

2012-02-14 13:01:37 +08:00

开源项目还是采用动态salt比较好啊，使用彩虹表来攻击弱密码成本还是很低的。