Hashování hesla (Password hashing)

Příklady z praxe

1. 01

   Registrace a přihlášení v Node.js s Argon2

   Při registraci se heslo předá knihovně, která si sama vygeneruje sůl a výsledný řetězec obsahuje algoritmus, parametry, sůl i otisk. Do databáze se ukládá celý tento řetězec do jednoho sloupce. Při přihlášení se nic nedešifruje, jen se ověří, že zadané heslo odpovídá uloženému otisku.

   import argon2 from 'argon2';
   
   // registrace
   const hash = await argon2.hash(plainPassword, { type: argon2.argon2id });
   await db.users.insert({ email, passwordHash: hash });
   
   // přihlášení
   const user = await db.users.findByEmail(email);
   const ok = user && await argon2.verify(user.passwordHash, plainPassword);
   if (!ok) return unauthorized();

2. 02

   Zvýšení ceny hashe u starých účtů

   Projekt začínal na bcryptu s cost faktorem 10, po třech letech je serverům tenhle výpočet příliš levný. Nové otisky se rovnou počítají s vyšším faktorem a u starších uživatelů se otisk přepočítá při prvním úspěšném přihlášení, protože jen v tu chvíli aplikace heslo v čitelné podobě má. Uživatel nic nepozná a migrace proběhne postupně.

   if (verify(user.hash, password)) {
       if (needs_rehash(user.hash, cost=12)):
           user.hash = hash_password(password, cost=12)
           save(user)
       login(user)

Časté omyly

MýtusPoužíváme SHA-256, to je přece kryptografická funkce, takže je to bezpečné.

Ve skutečnostiSHA-256 je bezpečná jako hashovací funkce, ale je extrémně rychlá, což je pro hesla nevýhoda. Útočník s běžnou grafickou kartou vyzkouší miliardy kandidátů za sekundu. Pro hesla patří Argon2id, scrypt nebo bcrypt.

MýtusSůl musí být tajná, jinak je k ničemu.

Ve skutečnostiSůl se běžně ukládá vedle otisku a její prozrazení nic nekazí. Jejím úkolem je znemožnit předpočítané tabulky a zajistit, aby stejná hesla měla různé otisky. Tajná hodnota sdílená napříč účty se nazývá pepper a je to doplněk, ne náhrada soli.

MýtusKdyž heslo zahashujeme v prohlížeči, server ho už nemusí hashovat.

Ve skutečnostiHash odeslaný z prohlížeče se stává skutečným heslem: kdo ho odposlechne nebo získá z databáze, přihlásí se s ním. Server proto musí přijatou hodnotu vždy zahashovat pomalou funkcí se solí.

Časté dotazy

Jak dlouho má výpočet hashe hesla trvat?

Výpočet hashe hesla se obvykle ladí tak, aby jedno ověření trvalo zhruba 0,2 až 1 sekundy na produkčním serveru. Kratší čas usnadňuje útok hrubou silou, delší zhoršuje odezvu přihlášení a otevírá prostor pro zahlcení serveru opakovanými pokusy. Správný postup je změřit dobu přímo na cílovém hardwaru a podle toho nastavit paměť a počet iterací u Argon2id nebo cost faktor u bcryptu. Hodnoty je vhodné jednou za čas revidovat, protože výkon serverů i útočníků roste.

Kam se ukládá sůl, když je součástí hashe?

Sůl se u bcryptu, scryptu i Argon2 ukládá přímo do výsledného řetězce spolu s identifikátorem algoritmu a parametry ceny. Aplikace tedy potřebuje jediný textový sloupec, typicky délky kolem 100 znaků, a nemusí sůl spravovat zvlášť. Ověřovací funkce si sůl i parametry z řetězce sama přečte a použije je při přepočtu. Vlastní sloupec pro sůl je nutný jen u nízkoúrovňových implementací, například u ručně sestaveného PBKDF2.

Co je pepper a potřebuje ho každá aplikace?

Pepper je tajná hodnota společná pro celou aplikaci, která se přimíchá k heslu před hashováním nebo se výsledný otisk ještě zašifruje. Na rozdíl od soli se ukládá mimo databázi, ideálně v HSM nebo správci tajemství. Přínos spočívá v tom, že samotný únik databáze bez úniku serverového tajemství útočníkovi nestačí. Většina aplikací pepper nepotřebuje a jeho zavedení komplikuje rotaci klíčů, takže dává smysl spíš u služeb s vysokou hodnotou účtů.

Co dělat po úniku databáze s hashi hesel?

Po úniku databáze s hashi hesel je nutné incident nahlásit podle GDPR, vynutit reset hesel a zneplatnit všechny existující relace a tokeny. Pomalý hash se solí získává čas, ale slabá a opakovaně používaná hesla útočník prolomí i tak. Uživatelům je vhodné doporučit změnu hesla i na jiných službách a nabídnout dvoufaktorové ověření. Zároveň patří k nápravě revize parametrů hashování a přehashování otisků při dalším přihlášení.

Zdroje

1. OWASP Cheat Sheet Series(otevře se v novém okně)OWASP
2. NIST Special Publications (SP) 800 Series(otevře se v novém okně)NIST
3. RFC 9106: Argon2 Memory-Hard Function for Password Hashing and Proof-of-Work Applications(otevře se v novém okně)IETF / RFC Editor, 2021
4. RFC 7914: The scrypt Password-Based Key Derivation Function(otevře se v novém okně)IETF / RFC Editor, 2016
5. Crypto: Node.js documentation(otevře se v novém okně)Node.js

Související pojmy

• ŠifrováníŠifrování je převod čitelných dat na nečitelnou podobu pomocí kryptografického algoritmu a klíče, aby obsah dokázala obnovit jen oprávněná strana. Chrání důvěrnost při ukládání i přenosu dat, ale samo neřeší identitu protistrany, integritu zprávy ani bezpečné zacházení s klíči.
• Brute force útokBrute force útok je metoda prolomení hesla, klíče nebo jiného tajemství systematickým zkoušením možných kombinací, dokud útočník nenarazí na tu správnou. Nevyužívá žádnou chybu v algoritmu, spoléhá se čistě na výpočetní výkon a čas. Obranou je délka a entropie tajemství, pomalé hashovací funkce, omezení počtu pokusů a druhý faktor.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• ACIDACID je sada čtyř vlastností databázové transakce: atomicity, consistency, isolation a durability. Zaručuje, že skupina zápisů proběhne jako jeden celek, neporuší definovaná pravidla databáze, nebude se nebezpečně míchat s jinými transakcemi a po potvrzení přežije pád systému, například při převodu peněz.
• Adaptive IconAdaptivní ikona je formát ikony aplikace na Androidu, který se místo jedné hotové bitmapy skládá z oddělených vrstev: pozadí a popředí. Systém výsledný tvar sám ořízne podle masky výrobce zařízení a může vrstvy animovat nebo přebarvit. Vývojář tak dodá jeden zdroj a launcher z něj vytvoří kruh, čtverec i squircle.
• Adresa v pamětiAdresa v paměti je číslo, kterým procesor jednoznačně označuje konkrétní buňku operační paměti, obvykle jeden bajt. Program pomocí adresy říká, odkud má data načíst nebo kam je zapsat. Adresy tvoří souvislý číselný rozsah, jehož velikost určuje šířka adresní sběrnice a architektura, typicky 32 nebo 64 bitů.
• AI agentAI agent je softwarový systém, který pomocí modelu umělé inteligence vnímá zadaný kontext, plánuje další kroky a samostatně volá nástroje nebo služby k dosažení cíle. Na rozdíl od jednorázového promptu udržuje stav úlohy, vyhodnocuje výsledky akcí a může opakovat postup, dokud nesplní zadání nebo nenarazí na limit.
• AndroidAndroid je operační systém postavený nad linuxovým jádrem, který vyvíjí Google a otevřeně uvolňuje jako projekt AOSP. Android pohání převážnou většinu chytrých telefonů, dále tablety, televize, hodinky i palubní systémy aut. Aplikace se pro něj píší hlavně v Kotlinu nebo Javě a distribuují přes Google Play i alternativní obchody.