¿Opcionalmente, usar Sha-3 antes de scrypt dependiendo de la longitud de la contraseña?

0

Primera nota: esto es solo para uso en disco, nunca se transmite a través de un servidor.

¿Qué tan segura, o adicionalmente segura, es sha-3 (512) una contraseña si dicha contraseña tiene menos de 128 caracteres, luego LUEGO procede a escribirla?

¿Es más seguro que escribir directamente la contraseña? ¿Debería sha-3'd más allá de 128? ¿Debería haber algún sha-3 en absoluto?

Soy consciente de que sha-3 es solo un hash y no es lo mismo que aes / bcrypt / scrypt / twofish, etc., simplemente estoy mirando para ver si se puede agregar algún tipo de capa de adición para más seguridad que scrypt ofertas por defecto.

En una nota de contraseña débil siempre será débil, en este caso, se puede especificar un archivo como la contraseña (de cualquier tamaño dentro de los límites operativos de scrypt), pero también se puede usar una contraseña normal, por lo tanto, mi pregunta surge:

¿Cuánto más seguro, incluso en un sentido teórico, si es todo, es tener una contraseña de 3 a 512 caracteres por debajo de 128 caracteres, y por encima de 128 caracteres, antes de escrutarla?

    
pregunta Robert 'Jet' Rowe 14.08.2016 - 04:24
fuente

1 respuesta

2

Un atacante no adivinaría el carácter de 128 caracteres largos que entra en scrypt, simplemente adivinaría la contraseña de 127 caracteres de longitud que entra en sha-3. Esto podría no parecer un problema si la contraseña tiene 127 caracteres de longitud, pero es discutible que, para empezar, se necesita scrypt en tal situación.

Usando medidas realistas de la longitud de la contraseña, es decir, 5-10, esta discrepancia se vuelve más grande: el factor de trabajo de los adversarios estará limitado por la longitud de la contraseña real, no por la longitud de la salida del hash sha-3.

Hacer esto puede perder si la longitud de la contraseña es mayor o menor que su umbral, debido a que la operación requiere períodos de tiempo variables.

Así que no debería haber ningún sha-3 'de nada en absoluto. Recuerde: agregar más criptografía no resuelve el problema mágicamente, y hacer cosas que no son explícitamente beneficiosas solo puede aumentar su superficie de ataque.

    
respondido por el Ella Rose 14.08.2016 - 04:45
fuente

Lea otras preguntas en las etiquetas