如何安全地加密存储用户密码？

Question

如何安全地存储用户密码是系统安全的核心问题。常见的误区是使用MD5或SHA系列等普通哈希算法直接加密密码，但这类方法易受彩虹表和暴力破解攻击。那么，应如何正确实现密码的加密存储？是否只需加盐（salt）即可防御？bcrypt、PBKDF2 和 Argon2 等专用密钥派生函数相比传统哈希有何优势？在实际应用中，如何选择合适的迭代次数与内存开销参数以平衡安全性与性能？此外，密码哈希后的存储格式设计、密钥管理及未来升级策略又该如何规划？

Answer 1

如何安全地存储用户密码：从基础到高级实践

1. 密码存储的常见误区与风险分析

在系统安全中，用户密码的存储方式直接影响整个系统的抗攻击能力。许多开发者误以为使用 MD5 或 SHA-1/SHA-256 等哈希算法“加密”密码就是安全的做法。然而，这些通用哈希函数设计初衷并非用于密码保护，其高速计算特性反而为攻击者提供了便利。

• MD5 已被证明存在严重碰撞漏洞，且彩虹表可轻易破解其哈希值。
• SHA 系列虽较安全，但缺乏延时机制，暴力破解效率极高。
• 未加盐（salt）的哈希会导致相同密码生成相同哈希，暴露用户行为模式。
• 即使加了固定盐或全局盐，仍可能被预计算彩虹表攻破。

因此，仅靠传统哈希加静态盐并不能满足现代安全需求。

2. 加盐是否足够？深入理解 salt 的作用与局限

加盐是提升密码安全性的重要一步，其核心原理是在哈希前将随机字符串（salt）与密码拼接，确保相同密码生成不同的哈希值。

加盐类型	实现方式	安全性评估
无盐	hash(password)	极低，易受彩虹表攻击
全局盐	hash(password + global_salt)	中等，仍可被批量破解
每用户随机盐	hash(password + per_user_salt)	高，推荐基本配置

尽管每用户随机盐显著提升了安全性，但它并未解决哈希计算速度过快的问题——这正是专用密钥派生函数要解决的核心痛点。

3. 专用密钥派生函数的优势对比：bcrypt、PBKDF2、Argon2

为应对暴力破解，现代密码存储应采用专为密码哈希设计的慢速算法。以下是三种主流算法的技术特性比较：

| 算法     | 抗 GPU 攻击 | 内存硬度 | 可调参数               | 标准化程度 |
|----------|-------------|----------|------------------------|------------|
| PBKDF2   | 中          | 低       | 迭代次数                | NIST, PKCS#5 |
| bcrypt   | 高          | 中       | cost factor             | OpenBSD    |
| Argon2   | 极高        | 高       | time, memory, threads   | PHC 获胜者 |

其中，Argon2 在 2015 年密码哈希竞赛（Password Hashing Competition, PHC）中胜出，具备更强的抗侧信道和硬件加速攻击能力。

4. 参数调优：平衡安全性与性能的工程实践

选择合适的参数对系统可用性至关重要。以下为各算法推荐参数范围（基于 2024 年标准）：

1. PBKDF2-SHA256：迭代次数 ≥ 600,000 次（目标处理时间 ~250ms）
2. bcrypt：cost factor 设置为 12–14（随硬件升级动态调整）
3. Argon2id：memory=64MB, iterations=3, parallelism=4（适用于普通服务器）

建议在部署环境实测响应延迟，并结合用户登录频率进行压力测试。

5. 存储格式设计：结构化与可扩展性考量

密码哈希应以标准化格式存储，便于解析与未来升级。推荐使用如下字段结构：

{
  "algorithm": "argon2id",
  "version": "2024.1",
  "salt": "base64_encoded_random_salt",
  "hash": "base64_encoded_derived_key",
  "m": 65536,
  "t": 3,
  "p": 4,
  "timestamp": "2024-04-05T10:00:00Z"
}

或将上述信息编码为类 modular crypt format 的字符串：
$argon2id$v=19$m=65536,t=3,p=4$c29tZXNhbHQ$RDescLd4...

6. 密钥管理与升级策略：面向未来的架构设计

随着算力提升和新攻击手段出现，当前安全的算法可能在未来变得脆弱。必须建立密码哈希的演进机制：

graph TD A[用户登录] --> B{验证旧哈希?} B -- 是 --> C[重新哈希并更新存储] B -- 否 --> D[使用当前算法验证] C --> E[写入新格式哈希] D --> F[返回认证结果] E --> F

通过在用户登录时触发透明升级，可在不中断服务的前提下逐步迁移至更强算法。

7. 实际代码示例：使用 Argon2 进行密码哈希（Node.js）

const argon2 = require('argon2');

async function hashPassword(plainText) {
  const options = {
    type: argon2.argon2id,
    memoryCost: 65536,     // 64 MB
    timeCost: 3,
    parallelism: 4,
    salt: crypto.randomBytes(16),
    hashLength: 32
  };
  return await argon2.hash(plainText, options);
}

async function verifyPassword(hash, plainText) {
  try {
    return await argon2.verify(hash, plainText);
  } catch (err) {
    return false;
  }
}

该实现符合当前最佳实践，支持自动加盐、防时序攻击验证及参数可配置。