W aplikacji należy stosować maksymalną liczbę rund, która jest dopuszczalna pod względem wydajności. Liczba rund jest czynnikiem spowolnienia, którego używasz na podstawie tego, że w normalnych warunkach użytkowania takie spowolnienie ma na Ciebie znikomy wpływ (użytkownik go nie zobaczy, dodatkowy koszt procesora nie oznacza zakupu większego serwera, a wkrótce). To w dużej mierze zależy od kontekstu operacyjnego: jakie maszyny są zaangażowane, ile uwierzytelnień użytkowników na sekundę ... więc nie ma jednej odpowiedzi dla wszystkich.

Szeroki obraz wygląda następująco:

• Czas weryfikacji pojedynczego hasła w systemie wynosi v . Możesz dostosować ten czas, wybierając liczbę rund w PBKDF2.
• Potencjalny napastnik może zebrać f razy więcej mocy procesora niż Ty (np. Masz pojedynczy serwer, a atakujący ma 100 dużych komputerów, z których każdy jest dwa razy szybszy od twojego serwera: prowadzi to do f=200).
• Przeciętny użytkownik ma hasło o entropii n bity (oznacza to, że próba odgadnięcia hasła użytkownika ze słownikiem „wiarygodnych haseł” zajmie średnio 2^n-1 prób).
• Atakujący uzna Twój system za warty ataku, jeśli przeciętne hasło może zostać złamane w czasie krótszym niż p (to jest „cierpliwość” atakującego).

Twoim celem jest sprawienie, aby średni koszt złamania jednego hasła przewyższył cierpliwość atakującego, tak aby nawet nie próbował i zaczął koncentrować się na innym, łatwiejszym celu. Dzięki opisom wyszczególnionym powyżej oznacza to, że chcesz:

v · 2 ^n-1 > f · p

p jest poza twoją kontrolą; można ją oszacować na podstawie wartości danych i systemów chronionych hasłami użytkowników. Powiedzmy, że p to jeden miesiąc (jeśli zajmie to więcej niż miesiąc, atakujący nie będzie się fatygował). Możesz zmniejszyć f , kupując większy serwer; z drugiej strony, atakujący będzie próbował zwiększyć f , kupując większe maszyny. Kłopotliwe jest to, że łamanie haseł jest zadaniem żenująco równoległym, więc osoba atakująca otrzyma duże przyspieszenie, używając GPU, który obsługuje ogólne programowanie; więc typowe f będzie nadal wynosić kilkaset.

n odnosi się do jakości haseł, na które w jakiś sposób możesz wpłynąć poprzez rygorystyczną politykę doboru haseł, ale realistycznie rzecz biorąc, trudno będzie uzyskać wartość n powyżej, powiedzmy, 32 bitów. Jeśli spróbujesz wymusić silniejsze hasła, użytkownicy zaczną z tobą aktywnie walczyć, stosując obejścia, takie jak ponowne używanie haseł z innego miejsca, zapisywanie haseł na karteczkach itp.

Zatem pozostały parametr to v . Mając f = 200 (atakujący z kilkunastoma dobrymi GPU), miesięczną cierpliwość i n = 32 , potrzebujesz v , wynosić co najmniej 241 milisekund (uwaga: początkowo napisałem tutaj „8 milisekund”, co jest błędne - jest to liczba dla cierpliwości jednego dnia zamiast jednego miesiąca). Więc powinieneś ustawić liczbę rund w PBKDF2 tak, aby obliczenie go na jednym haśle zajmowało co najmniej tyle czasu na twoim serwerze. Nadal będziesz w stanie zweryfikować cztery hasła na sekundę z jednym rdzeniem, więc wpływ na procesor jest prawdopodobnie znikomy (*). W rzeczywistości bezpieczniej jest używać większej liczby rund, ponieważ, spójrzmy prawdzie w oczy, uzyskanie 32-bitowej wartości entropii z hasła przeciętnego użytkownika jest nieco optymistyczne; Z drugiej strony, w niewielu atakach dziesiątki komputerów w ciągu jednego miesiąca zostaną przeznaczone na złamanie jednego hasła, więc może „cierpliwość atakującego” jednego dnia jest bardziej realistyczna, co prowadzi do kosztu weryfikacji hasła wynoszącego 8 milisekund.

Więc musisz zrobić kilka testów porównawczych. Ponadto powyższe działa tak długo, jak długo implementacja PBKDF2 / SHA-256 jest szybka. Na przykład, jeśli używasz implementacji w pełni opartej na C # / Javie, uzyskasz typowy współczynnik spowolnienia 2 do 3 (w porównaniu do C lub zestawu) dla zadań intensywnie wykorzystujących procesor; w zapisach powyżej jest to równoważne pomnożeniu f przez 2 lub 3. Dla porównania, procesor Core2 2,4 GHz może wykonać około 2,3 miliona podstawowych obliczeń SHA-256 na sekundę (przy pojedynczym rdzeń), więc oznaczałoby to, że na tym procesorze około 20000 rund, aby osiągnąć cel „8 milisekund”.

(*) Uważaj, aby weryfikacja hasła była droższa, a serwer bardziej podatne na ataki typu Denial-of-Service. Powinieneś zastosować kilka podstawowych środków zaradczych, takich jak tymczasowe umieszczenie na czarnej liście adresów IP klientów, które wysyłają zbyt wiele żądań na sekundę. Mimo wszystko musisz to zrobić, aby udaremnić ataki słownikowe online .

Uruchom openssl speed w wierszu poleceń, aby zorientować się, jak szybkie są funkcje skrótu wiadomości. Potrafię obliczyć około 1,6 miliona haszów sha256 na sekundę lub około 145 miliardów prób dziennie na moim czterordzeniowym moście 2,2 GHz. Jeśli ktoś ma hasło, które jest w słowniku języka angielskiego i użył jednej rundy sha256, ładowanie listy słów z dysku zajmie więcej czasu niż iteracja po liście, aby złamać hash. Gdybyś zrobił PKBDF2-SHA256 z kilkuset tysiącami nabojów, przebicie zajęłoby kilka minut. Egzekwowanie polityki silnych haseł pomaga, bardzo .

Prawdziwa odpowiedź: ile czasu masz na spalenie?

Odpowiedź Thomasa dostarcza pomocnego modelu bazowego i danych. Ale cel, jaki sobie stawia, nie ma dla mnie sensu. Typowy napastnik nie pozna liczby iteracji, dopóki faktycznie nie włamie się do witryny i nie złapie bazy danych skrótów. Po wykonaniu tej czynności nie przejdą dalej tylko dlatego, że używasz dużej liczby iteracji. Będą próbować złamać tyle, ile tylko mogą, i całkiem możliwe, że opublikują skróty, aby inni nadal próbowali je złamać przez lata z coraz potężniejszym sprzętem. Tak więc „p” i „f” będą rosły długo po włamaniu.

Poza tym prawdziwe hasła użytkowników nie są dobrze modelowane przez miarę złożoności, taką jak 32 bity entropii. W tym względzie pomocny jest artykuł Bezpieczeństwo wielokrotnego użytku: nowa publikacja o metrykach bezpieczeństwa haseł i dokumentuje to, co wiemy od dawna: wielu użytkowników wybiera hasła łatwe do odgadnięcia, a istnieje długi ogon. Oznacza to również, że napastnicy zawsze znajdą jakieś, jeśli będą wystarczająco się postarać.

Powiedziałbym, że bardziej prawdopodobnym celem byłaby ochrona jak największego odsetka użytkowników przed złamaniem haseł. Na przykład. Tabela 4.2.1 w PDF pokazuje, że jeśli udało Ci się ograniczyć napastnika podczas jakiejś kampanii ataku ze średnio 1 miliona prób na hash do 500 000 prób, możesz chronić hasła 5% Twoi użytkownicy (zakładając, że jest to mieszanka haseł składających się z więcej niż 7 znaków niż hasła składające się z ponad 8 znaków, co zmniejsza odsetek złamanych haseł z 35% do 30%). Oczywiście dokładny kształt krzywej i miejsce, w którym się na niej znajdują, będzie się znacznie różnić.

Więc wybrałbym maksymalną liczbę iteracji, na którą możesz zaplanować budżet, o ile nie opóźni się prawdziwi użytkownicy wykonujący normalne logowanie. I powinieneś zwiększać tę wartość wraz ze wzrostem mocy obliczeniowej na przestrzeni lat.

Potraktuj to jako bardzo długi komentarz. Byłem ciekawy, jak szybko wszystko działa na moim osobistym laptopie (Thinkpad T460p, Intel i7-6700HQ). Wiem, że do łamania zasolonych haseł są specjalne urządzenia, ale jeśli masz usługę internetową, prawdopodobnie nie masz do tego specjalnego sprzętu.

Wyniki oceny

Wartość domyślna werkzeug.security.generate_password_hash obecnie (01.06.2019) to pbkdf2:sha256:150000.

Jak możesz Widzisz, czas wykonania rośnie liniowo wraz z liczbą rund / iteracji. Oznacza to, że wartość domyślna na moim komputerze trwa około 281 ms.

  sha512, 1 iteracja: min: 67,1μs, średnia: 72,2μs, max: 310,9μssha512, 15000 iteracji: min: 38462,8μs, średnia: 40291,2μs, max: 44842,4μssha256, 15000 iteracji: min: 27167,6μs, średnia: 28118,0μs, max: 30826,0μssha512, 1000 iteracji: min: 2636,7μs, średnia: 2694,3μs, max: 3579,0μssha256, 1000 iteracji: min: 1870,7μs, średnia: 1888,8μs, max: 2477,0μsmd5, 15000 iteracja: min: 21126,2μs, średnia: 21864,8μs, max: 23799,3μssha512, 1 iteracja: min: 23,4μs, średnia: 26,9μs, max: 40,6μssha512, 1000 iteracji: min: 2586,7μs, średnia: 2761,1μs, max: 3120,6μssha256, 1000 iteracji: min: 1823,3μs, średnia: 1834,6μs, max: 2008,5μssha512, 15000 iteracji: min: 38507,9μs, średnia: 40210,8μs, max: 47430,3μssha256, 15000 iteracji: min: 27257,1μs, średnia: 28454,0 μs, maks .: 31213,5 μsmd5, 15000 iteracji: min: 21219,9 μs, średnia: 21842,4 μs, maks .: 24305,0 μs  

C ode

Nowoczesna maszyna wyposażona w 8 procesorów graficznych obecnej generacji będzie obliczać wartość rzędu 9 miliardów SHA-256 na sekundę, czyli około 777 bilionów haszów dziennie, a te GPU mogą wykonywać ataki słownikowe oparte na regułach.