¿Contraseñas en un archivo o por separado?

Estoy de acuerdo con las otras respuestas en que, desde una perspectiva de seguridad, no importa qué método utilice. Sin embargo, me gustaría abordar una de sus otras preguntas para asegurarme de que estemos en la misma página:

  

El único problema con el segundo ejemplo es cómo determinaría qué contraseña pertenece a quién.

Si utiliza el método de archivo único, podría hacer algo como esto:

username|salt|hashed-password
username2|different-salt|another-hashed-password
...

Tenga en cuenta que si alguna vez tiene muchos usuarios (digamos más de 100 K), puede comenzar a tener problemas de rendimiento con los dos métodos que describió, y una base de datos probablemente sea la mejor manera de hacerlo.

Haz lo que resulte en un código menos / más simple.

Desde la perspectiva de un modelo de amenaza, si un atacante puede acceder a un archivo, puede acceder al otro. Es mucho más propenso a tener problemas con fallas lógicas en su código, así que mantenga el código simple y corto. Elija cualquiera de las dos opciones que le ofrece más simplicidad.

Además, asegúrese de que entiende el hashing de contraseñas correctamente, y siga las buenas prácticas .

Creo que no hay un método mejor que otro para su caso ... en un escenario estándar (todos los usuarios y contraseñas con hash en la misma tabla en una base de datos), por lo que si se accede al mismo riesgo, se accede a todos. .

Si tiene una falla en su web que causa algún tipo de acceso a un archivo, probablemente se deba a la ejecución del comando, por lo que se accederá a todos los archivos.

En mi opinión, puedes hacerlo por tu cuenta.