2

Não entendi muito bem o funcionamento do salt do bcrypt, num código em javascript (node):

const bcrypt = require('bcrypt');
const saltRounds = 10;

async function init(plainPassword) {
    let salt = await bcrypt.genSalt(saltRounds);
    console.log(salt);

    let hashPassword = await bcrypt.hash(plainPassword, salt);
    console.log(hashPassword);

    let check = await bcrypt.compare(plainPassword, hashPassword);
    console.log(check);
}
init('cba');

Eu crio um salt e uso para criar o hash da senha, depois eu verifico a senha usando a função compare, porém nela não é passado o salt criado anteriormente, como então o bcrypt faz essa comparação, já que o valor do salt irá interferir no hash final da senha?

1 Resposta 1

3

O hashPassword inclui o salt utilizado. Eu praticamente respondi isso em outra questão, mas como a pergunta não era especificamente sobre isso, então acho que posso responder aqui também.

A mesma forma que "funciona no Node" é mesma que funciona em qualquer lugar, já que ele implementa o mesmo BCrypt.


O BCrypt é determinístico. Por esse motivo terá o mesmo resultado se for usando o mesmo salt, assim como qualquer KDF existente. No BCrypt possui três parâmetros:

  • Custo computacional.
  • Salt.
  • Senha.

Existem outras funções de derivações (KDFs) que possuem outros parâmetros de entrada. O Argon2, por exemplo, tem parâmetros de custos individuais (para memoria, iteração e etc), parâmetros parâmetros de comprimento de saída. Por outro lado, o HKDF não possui custo computacional, por não ser destinado a senhas, mas possui comprimento de hash, do resultado, flexível.

Como resultado terá:

  • "Hash".

Entretanto, os dois primeiros valores são públicos, no caso do BCrypt. Por isso, o próprio BCrypt utiliza um formato, similar ao Modular Crypt Format, onde:

${Algoritmo}${Custo}${Salt}{Hash}

Dessa forma a hash está incluída em valores que possibilitam comparar a mesma hash, já que conhecemos o algoritmo, o custo, o salt e o resultado esperado.


Um pequeno teste, com um resultado de:

$2b$10$111111111111111111111u1Fg3CCqE4CYDkm0w0C9gxJ.HpXSNHlS

Você pode obter o algoritmo, o custo, o salt e a "hash esperada", portanto:

    let resultado = '$2b$10$111111111111111111111u1Fg3CCqE4CYDkm0w0C9gxJ.HpXSNHlS';

    let algo = resultado.substring(1, 3);
    let custo = resultado.substring(4, 6);
    let salt = resultado.substring(7, 29);

Então basta fazer o bcrypt.hash e você poderá comparar o valor, normalmente:

const crypto = require('crypto');
const bcrypt = require('bcrypt');

async function init(plainPassword) {
    let resultado = '$2b$10$111111111111111111111u1Fg3CCqE4CYDkm0w0C9gxJ.HpXSNHlS';

    let algo = resultado.substring(1, 3);
    let custo = resultado.substring(4, 6);
    let salt = resultado.substring(7, 29);

    let hash = await bcrypt.hash(plainPassword, '$' + algo + '$' + custo + '$' + salt);

    console.log(crypto.timingSafeEqual(Buffer.from(hash), Buffer.from(resultado)));
}

init('cba');

Veja que não existe nenhum bcrypt.compare, o crypto.timingSafeEqual faz o mesmo que o ===, porém é seguro contra timing-attack. É basicamente isso que o bcrypt.compare faz, quando você inclui o hashPassword ele já tem os dados necessários. :)

7
  • Então, nesse caso, qual é a função do salt?
    – Costamilam
    30/05/2018 às 1:21
  • @GuilhermeCostamilam Impedir que uma mesma senha tenha o mesmo resultado. Se você tem KDF(1,1), KDF(1, 2), KDF(1, 3) terão resultados distintos, mesmo que o "1" esteja em ambas. Isso impede ataques de pré-computação, já que para pre-computar o resultado de uma senha X terá que computar todas possibilidades de SALT com X.
    – Inkeliz
    30/05/2018 às 1:23
  • Eu estava pensando em fazer algo como bcrypt.hash(plainPassword, salt+systemSalt) sendo systemSalt um salt constante no sistema, faz diferença? Ou bcrypt.hash(salt+plainPassword+systemSalt, salt)? Alguma delas pode aumentar a segurança?
    – Costamilam
    30/05/2018 às 1:26
  • Isso se chama "pepper". Não há ganhos significativos na segurança, no BCrypt isso é pior, porque o salt é limitado a 16 bytes. Em outros KDF (Argon2) você pode ter salt maiores, então poderá ainda ter 32 bytes de salt e mais 32 bytes de pepper, por exemplo. Você colocar um salt junto a senha é uma catástrofe completa. O Bcrypt apenas suporta senhas de até 72 bytes, então usar 16 bytes reduzirá a possibilidade para, no máximo, 56 bytes. Se ainda for adicionar como prefixo, dependendo do tamanho acabará por inutilizar a senha. Use o algoritmo como ele foi proposto, ou use um outro algoritmo.
    – Inkeliz
    30/05/2018 às 1:31
  • @GuilhermeCostamilam O "pepper" faz sentido se você estiver fisicamente isolado, por exemplo um banco de dados num servidor, o web em outro e talvez um outro HSM. Dessa forma comprometer um não dará todas as informações, mas no BCrypt isso é mais complicado, por falta de espaço.
    – Inkeliz
    30/05/2018 às 1:32

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .