¿Es seguro (o una buena idea) anunciar el uso de bcrypt?

El argumento habitual es el siguiente: si no es seguro describir los algoritmos que usa, entonces tiene un problema mayor. Por lo tanto, debería poder anunciar al mundo que usa bcrypt sin afectar la seguridad. De hecho, debemos asumir que el atacante ya sabe que usted usa bcrypt (si está en posición de hacer daño, entonces probablemente pueda ver su código; también, la salida de bcrypt de las implementaciones habituales de bcrypt tiene un formato bastante reconocible).

Saber si es una buena idea, desde un punto de vista de marketing, convertir el uso de bcrypt en un argumento de venta es otra cuestión. Personalmente, creo que decir "usamos HTTPS y todas las contraseñas se almacenan con hash con bcrypt" no hará daño a la simple "usamos HTTPS". No puedo afirmar que haría bien . Además, existe la posibilidad de que sea demasiado técnico, ya que puede aparecer inadvertidamente como "un grupo de geeks" que pueden o no atraer a la multitud de sus clientes potenciales. Todo esto depende del tipo de imagen que desee proyectar y del perfil psicológico promedio de los usuarios del sitio esperado.

Parece que tienes la actitud correcta y ciertamente estás haciendo una buena pregunta.

Cuando alguien realiza una prueba de penetración, una de las cosas que buscarán generalmente es la filtración de información que podría ayudar a un atacante. Un sitio web que dice que apache se está ejecutando y la versión específica sería útil para alguien que quiera hackear su sitio web, por ejemplo. Así que decirle al mundo que usas bcrypt se lo dirá a cualquiera que quiera piratearte.

Una vez más, si un atacante sabe que estás usando bcrypt, es probable que tengan menos posibilidades de atacarte, ya que es probable que tengas tus cosas juntas, por lo que existen tanto costos potenciales como beneficios desde el punto de vista del conocimiento del atacante.

Lo que realmente se me ocurre es que es poco probable que la mayoría de sus clientes potenciales tengan la primera idea de qué es bcrypt, por lo que usted dice que no lo va a utilizar para vender su producto. Simplemente decir que la encriptación de su contraseña es mejor que el estándar de la industria, y usted tiene un fuerte compromiso de proteger la información del cliente es suficiente para la mayoría de los clientes, y ser honesto tiene más sentido para ellos. Por lo tanto, estaría entregando información sobre su producto a un atacante sin ningún beneficio real.

Imagina que eres el cliente que compra tu propio producto. Si viste que el producto "tenía bcrypt!" ¿Eso te haría más propenso a comprarlo? Teniendo esto en cuenta, es probable que tengas más experiencia en seguridad que la mayoría de los clientes. ¿Sabrán qué es bcrypt o los distraerá de sus otros puntos de venta? Si esto es para una audiencia técnica que dice "usamos bcrypt" no dice mucho. Genial, usas bcrypt, pero ¿usas sal? Incluso con bcrypt sin sal se podría usar una mesa de arco iris. Para una audiencia técnica obtener una auditoría de terceros si ese es el razonamiento. De lo contrario, no vale la pena distraerse de sus principales puntos de venta.