Sel (salt)
Un sel est une valeur unique ajoutée à chaque hachage de mot de passe ou dérivation de clé afin que des entrées identiques produisent des sorties différentes.
Définition
Un sel est une valeur ajoutée à un mot de passe ou à une autre entrée avant le hachage de mot de passe ou la dérivation de clé. Son rôle principal est de rendre la sortie dérivée unique même si deux utilisateurs choisissent le même mot de passe.
Un sel n'a généralement pas besoin d'être secret. Il est stocké avec le hash ou la sortie encodée afin que le vérificateur puisse refaire le même calcul plus tard.
Fonctionnement
Pour chaque mot de passe, le système génère un nouveau sel aléatoire et fournit le mot de passe et le sel à une fonction de hachage de mots de passe comme Argon2id, bcrypt ou PBKDF2. Lors de la vérification, le sel stocké est réutilisé avec le mot de passe candidat.
Des sels uniques empêchent des mots de passe identiques de produire des hashes stockés identiques et rendent les tables précalculées beaucoup moins utiles. Ils ne rendent pas forts les mots de passe faibles; la fonction de hachage doit toujours avoir des paramètres de coût adaptés.
Sel, clé, pepper et nonce
Un sel fournit une unicité publique, pas une clé secrète d'authentification. Un pepper est une valeur secrète séparée conservée hors de la base de mots de passe, et un nonce est un nombre utilisé une seule fois dans un protocole ou une opération de chiffrement précise.
Pour les nouveaux systèmes, générez les sels avec une source aléatoire cryptographiquement sûre et laissez la bibliothèque de hachage les stocker dans son format encodé standard quand c'est possible.
Non. Il doit être unique et de préférence aléatoire, mais il peut être stocké à côté du hash.
Ils ne devraient pas. Les sels aléatoires rendent la réutilisation improbable et empêchent des mots de passe identiques d'apparaître comme des hashes identiques.
Non. Utilisez une fonction de hachage de mots de passe avec des paramètres de coût adaptés, des sels aléatoires sûrs, une limitation de débit et de la surveillance.