Bezpieczeństwomedium

Jak bezpiecznie przechowywać hasła?

Tagi

#passwords#hashing#security

Wróć do kategorii Przejdź do quizu

Odpowiedź

Hasła przechowuj jako solone, wolne hashe (Argon2id, bcrypt lub scrypt). Nigdy nie przechowuj plaintextu ani odwracalnego szyfrowania. Stosuj per-user salt, opcjonalny pepper i polityki siły haseł.

Odpowiedź zaawansowana

Głębiej

Bezpieczne przechowywanie haseł to odporność na ataki offline:

Użyj Argon2id (preferowane), bcrypt lub scrypt z dobranym kosztem.
Unikalna sól per użytkownik; opcjonalny pepper trzymany osobno (HSM/secret manager).
Rate limiting logowań; blokady lub MFA przy podejrzanych próbach.
Rehash przy logowaniu, gdy zwiększasz koszt.

Przykłady

Podniesienie kosztu przy logowaniu:

if (needsRehash(hash)) { newHash = hashPassword(password) }

Typowe pułapki

Odwracalne szyfrowanie lub klucz w tej samej bazie.
Szybkie hashe (MD5/SHA1) albo wspólna sól.
Przechowywanie podpowiedzi do haseł lub wysyłka hasła mailem.

Pytania uzupełniające na rozmowie

Kiedy dodajesz pepper i gdzie go przechowujesz?
Jak migrujesz stare hashe na mocniejszy schemat?
Jak chronisz się przed credential stuffing?

Powiązane pytania

Bezpieczeństwo

Uwierzytelnianie vs autoryzacja — jaka jest różnica, z przykładami?

#authn#authz#security

Bezpieczeństwo

Czym jest threat modeling i jak zrobić lekki threat model dla funkcji?

#threat-modeling#risk#security

Jakie są dobre praktyki dla bezpiecznych i małych obrazów Dockera?

#docker#containers