密码散列与存储安全

从 MD5 到 Argon2 的演变

早期开发者用 MD5 或 SHA-1 存储密码，这些算法被设计为快速——这恰好是密码存储需要避免的特性。现代 GPU 每秒可计算数百亿次 MD5，即使有简单的彩虹表保护，6 位以内的密码几秒内即可破解。

2012 年 LinkedIn 数据库泄露 650 万密码哈希（未加盐 SHA-1），数天内大部分被破解公开，用户账号在其他平台被撞库，危害远超原始泄露范围。

正确方案是使用设计上就「故意慢速」的密码散列函数：

bcrypt（1999 年）：成本因子可调，每次散列故意迭代数千次，成本随硬件提升可增加。2023 年仍是最广泛部署的密码散列方案。
scrypt（2009 年）：增加了内存硬度（Memory-hard），使 GPU/ASIC 无法像 CPU 那样有效并行，进一步对抗专用硬件攻击。
Argon2（2015 年 Password Hashing Competition 冠军）：同时具有时间硬度、内存硬度和并行度参数，是 OWASP 2023 年推荐的首选方案。Argon2id（混合模式）抵抗侧信道和 GPU 攻击的综合表现最佳。

[1]

盐值（Salt）是每个密码独有的随机字符串，与密码一起散列，使相同密码产生不同的哈希值，彻底消除彩虹表的有效性，并使攻击者无法同时爆破大量账号（必须逐一爆破）。盐值无需保密，可以明文存储在数据库旁边。

胡椒（Pepper）是一个应用级别的全局密钥，不存入数据库，而是存入配置文件或密钥管理服务（HSM/KMS）。散列时把胡椒与密码组合。即使数据库全量泄露，没有胡椒攻击者也无法开始爆破。代价是胡椒轮换复杂（需要用户重新登录）。

bcrypt、scrypt、Argon2 等现代库都内置了盐值生成，不需要开发者手动处理——「自己实现密码散列」是高频错误来源。