Salt e password

[LucianoS]

buonasera, non mi è chiara una cosa su come usare un Salt per le password.
Ho uno script di login: nel dbmemorizzo solo l'hash md5 della pwd scelta dall'utente con in più un salt che decido io.

Ma questo Salt, deve stare in chiaro nel codice (magari in DEFINE()) oppure deve essere memorizzato amch'esso nel db?

[neroux]

Se usi sempre lo stesso salt, lo puoi definire anche nel codice, però in genere è meglio usare per ogni utente un altro salt, quindi poi lo devi salvare con i dati dell'utente.

[LucianoS]

diciamo che posso anche usare lo stesso salt, ma mi chiedo se questo poi sia visibile in chiaro nel codice diventa poi inutile usarlo nella pwd.

[neroux]

Il salt non deve essere segretissimo, perché serve principalmente per evitare che uno possa usare delle tabelle rainbow, già precalcolate con i hash.

[LucianoS]

su questo non ci piove, ma conoscendo il salt il lavoro sugli hash diventa molto più "semplice"

[neroux]

Più sì, molto direi di no, perché ci sarebbe ancora nonostante bisogno di calcolare la tabella rainbow considerando il salt. La cosa più sicura sarebbe usare un unico per ogni utente.

[LucianoS]

se ne memorizzo uno e solo uno per tutti gli utenti nel db, però, credo che debba essere equiparato ad una sorta di password, per cui dovrei memorizzarlo sotto forma di hash md5.. non credi?

[neroux]

No, il salt serve solo per cambiare il valore del hash, che non sia quello standard.