Weak Cryptographic Hash: Hardcoded PBE Salt

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

    ...
    PKCS5_PBKDF2_HMAC(pass, strlen(pass), "2!@$(5#@532@%#$253l5#@$", 2, ITERATION, EVP_sha512(), outputBytes, digest);
    ...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。salt をハードコーディングすると、ソースにアクセスできる人なら誰でもそれを利用できるようになり、この関数の暗号化強度が損なわれます。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

...
const salt = "some constant value";
crypto.pbkdf2(
    password,
    salt,
    iterations,
    keyLength,
    "sha256",
    function (err, derivedKey) { ... }
);

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布されると、salt を変更できないと考えられます。不心得な従業員がこの情報へのアクセス権を持っている場合、システムの安全性が損なわれる可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

...
CCKeyDerivationPBKDF(kCCPBKDF2,
                     password,
                     passwordLen,
                     "2!@$(5#@532@%#$253l5#@$",
                     2,
                     kCCPRFHmacAlgSHA256,
                     100000,
                     derivedKey,
                     derivedKeyLen);
...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

...
$hash = hash_pbkdf2('sha256', $password, '2!@$(5#@532@%#$253l5#@$', 100000)
...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

...
from hashlib import pbkdf2_hmac
dk = pbkdf2_hmac('sha256', password, '2!@$(5#@532@%#$253l5#@$', 100000)
...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、Hardcoded Salt を使用しています。

...
dk = OpenSSL::PKCS5.pbkdf2_hmac(password, '2!@$(5#@532@%#$253l5#@$', 100000, 256, digest)
...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。

ハードコーディングされた salt はシステムのセキュリティを危険にさらす可能性があり、この問題への対策は簡単ではありません。

salt をハードコーディングするのはよくない発想です。Hardcoded Salt を使用すると、プロジェクトの開発者全員が salt を見ることができるだけでなく、問題の修復も非常に困難になります。コードが実運用に入ると、salt は簡単に変更できません。攻撃者は、salt の値を把握すると、アプリケーションの「レインボー テーブル」を計算し、ハッシュ値をより簡単に解読できます。
例 1: 次のコードは、ハードコードされた salt を使用しています。

...
let ITERATION = UInt32(100000)
let salt = "2!@$(5#@532@%#$253l5#@$"
...
CCKeyDerivationPBKDF(CCPBKDFAlgorithm(kCCPBKDF2),
password,
passwordLength,
salt,
salt.lengthOfBytesUsingEncoding(NSUTF8StringEncoding),
CCPseudoRandomAlgorithm(kCCPRFHmacAlgSHA256),
ITERATION,
derivedKey,
derivedKeyLength)
...

このコードは正常に動作しますが、コードにアクセスできる全員が salt を入手できます。プログラムが頒布された後は、"2!@$(5#@532@%#$253l5#@$" という salt を変更することはできません。この情報へのアクセス権を持っている従業員が、権限を使用してシステムに侵入する可能性があります。