如何根据技术演进确定好的 PBKDF2 迭代次数?

信息安全 密码管理 pbkdf2
2021-08-24 19:41:53

我正在使用 PBKDF2 派生密码,但我永远不知道什么可以被视为迭代计数的“足够”值。

技术发展非常快,我也想知道我应该多久增加一次价值以及增加多少价值(例如:每年+20%)。

1个回答

没有“足够”的计数,因为用户选择的密码总是非常脆弱,无论你对它们的指导如何。您希望计数是您可以容忍的最高值。

请记住,增加迭代次数会机械地增加运营成本。因此,您必须将计数设置为足够低的值,以便您的机器仍然能够及时处理密码。这是您必须自己进行的分析,因为它取决于您的硬件和预期的峰值负载,以及用户对延迟的容忍度。更高的迭代次数往往会增加拒绝服务攻击的脆弱性。

您不会定期增加迭代次数以匹配“平均技术”。您可以在负担得起的情况下增加迭代次数,这不取决于更快服务器的普遍可用性,而是取决于您实际购买和使用的服务器。因此,您计划在购买新硬件时增加迭代次数。