Ruby의 bcrypt lib가 해시의 일반 텍스트로 소금을 포함하는 이유는 무엇입니까?

Question

나는 Coda Hale의 Ruby bcrypt library을 사용하고 있습니다. 나는 그것이 효과가 있다고 생각했던 것처럼 작동하지 않는다는 것을 최근에 알아 차렸다. 나는 적절한 절차이라고 생각했다 :

1. 이 확보 암호
2. 연결하여 소금과 해시 기능을 통해
3. 그들을 해시 암호 문자열을 소금
4. 를 생성

그러나 내가 bcrypt 함수의 결과를 볼 때 소금이 해시이 아니라 암호에 연결되어있는 것처럼 보입니다.. 소금 결합은 이전이 아닌 4 단계 이후에 일어납니다. 나는 코다 헤일이이 일을한다고 가정하고 있지만, 왜 이런 행동을하는지 궁금합니다.

다음은 간략한 IRB 세션으로 나에게 이상한 것을 보여줍니다. hash_secret 함수의 결과에서 첫 번째 29 개의 문자는 이고 소금은과 같습니다. 이것이 왜 그런지에 대한 정보는 인정 될 것입니다.

나의 유일한 이론은 salt가 별도의 DB 필드 (본질적으로 레코드 패킹 전략)에 저장할 필요가 없도록 해시에 과이 포함되어 있다는 것입니다.

irb#1(main):004:0> password_salt = BCrypt::Engine.generate_salt 
=> "$2a$10$OrKdcWORLL8Gorhy9XR3UO" 
irb#1(main):005:0> password='abc' 
=> "abc" 
irb#1(main):006:0> BCrypt::Engine.hash_secret(password, password_salt) 
=> "$2a$10$OrKdcWORLL8Gorhy9XR3UOY8Sebzq92m7r02XPitzoazPdO7tmsEO" 
irb#1(main):007:0> 

Answer 1

기술적 인 이유가 없습니다. 원한다면 소금과 암호를 따로 저장할 수 있습니다. 혹시 원한다면 소금을 공개 할 수 있습니다. 나는 사람들이 자신의 데이터베이스에 몇 비트의 저장 공간을 저장하기 위해 소금으로 user-id를 사용할 것이라고 들었다.

같은 데이터베이스의 다른 필드에 해시와 소금을 저장하면 보안 효과가 없습니다. 정말 중요한 것은 무지개 표를 막기 위해 각 소금이 독특하다는 것입니다.

작성자가 데이터베이스와 응용 프로그램의 단일 필드에서 소금과 해시를 함께 유지하기 위해 두 문자열을 연결하기로 결정했다고 상상합니다. 때로는 다중 값 반환을 지원하지 않는 언어와 같이 유용 할 수 있습니다.