SHA-256 быстрый — это хорошо для контрольных сумм и плохо для паролей: утёкшую базу перебирают миллиардами вариантов в секунду. bcrypt, scrypt и argon2 намеренно медленные и настраиваются параметром стоимости.
А ещё Параметры повышают со временем и перехешируют при входе
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Зачем медленная функция. После утечки базы атакующий перебирает словари и варианты паролей, вычисляя хеш для каждого. SHA-256 на видеокарте — миллиарды вычислений в секунду: короткие и словарные пароли находятся за минуты. Функции для паролей (KDF) специально делают одно вычисление дорогим — десятки–сотни миллисекунд. Для легитимного входа это незаметно, для перебора — замедление в миллионы раз.
Различия функций:
Соль — уникальная случайная строка на каждый пароль. Одинаковые пароли дают разные хеши, радужные таблицы бесполезны, перебор идёт по каждому пользователю отдельно. Все перечисленные функции включают соль и параметры в выходную строку.
Не шифрование: зашифрованный пароль расшифровывается ключом, который лежит рядом — утечка ключа раскрывает все пароли.
Один верный вариант. Подумайте, потом откройте ответ.
OWASP Top 10 в редакции 2025, разница аутентификации и авторизации, ловушки JWT против сессий, хранение паролей и секретов, безопасность цепочки поставок.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto