Weak Cryptographic Hash: Empty PBE Salt

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。使用空 salt 不仅让确定散列值变得明显更容易，还让该问题的解决变得非常困难。一旦该代码投入使用，则无法轻易更改该 salt。如果攻击者发现值是使用空 salt 进行散列处理的，他们便可以计算应用程序的“彩虹表”，并更轻松地确定散列值。
示例 1：以下代码使用了一个空 salt：

...
const salt = "";
crypto.pbkdf2(
    password,
    salt,
    iterations,
    keyLength,
    "sha256",
    function (err, derivedKey) { ... }
);

此代码可能会成功运行，但有权访问该代码的任何人都可能知道它使用的是空 salt。一旦程序发布，除非修补该程序，否则可能无法更改空 salt。心怀不轨的雇员可以利用手中掌握的信息访问权限破坏系统。

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。这不仅是因为使用空 salt 让确定散列值变得十分容易，而且还会使解决这一问题变得极其困难。在代码投入使用之后，将无法轻易更改该 salt。如果攻击者知道散列值使用了空 salt，他们就可以计算出该应用程序的“彩虹表”，并更轻松地确定散列值。

例 1： 下列代码使用了空 salt：

...
CCKeyDerivationPBKDF(kCCPBKDF2,
                     password,
                     passwordLen,
                     "",
                     0,
                     kCCPRFHmacAlgSHA256,
                     100000,
                     derivedKey,
                     derivedKeyLen);
...

此代码将成功运行，但任何有权访问此代码的人都可以访问（空）salt。一旦程序发布，可能无法更改空 salt。雇员可以利用手中掌握的信息访问权限入侵系统。

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。这不仅是因为使用空 salt 让确定散列值变得十分容易，而且还会使解决这一问题变得极其困难。在代码投入使用之后，将无法轻易更改该 salt。如果攻击者知道散列值使用了空 salt，他们就可以计算出该应用程序的“彩虹表”，并更轻松地确定散列值。

示例 1：下列代码使用了空 salt：

...
$hash = hash_pbkdf2('sha256', $password, '', 100000);
...

此代码将成功运行，但任何有权访问此代码的人都可以访问（空）salt。一旦程序发布，可能无法更改空 salt。雇员可以利用手中掌握的信息访问权限入侵系统。

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。这不仅是因为使用空 salt 让确定散列值变得十分容易，而且还会使解决这一问题变得极其困难。在代码投入使用之后，将无法轻易更改该 salt。如果攻击者知道散列值使用了空 salt，他们就可以计算出该应用程序的“彩虹表”，并更轻松地确定散列值。

例 1： 下列代码使用了空 salt：

from hashlib import pbkdf2_hmac
...
dk = pbkdf2_hmac('sha256', password, '', 100000)
...

此代码将成功运行，但任何有权访问此代码的人都可以访问（空）salt。一旦程序发布，可能无法更改空 salt。雇员可以利用手中掌握的信息访问权限入侵系统。

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。这不仅是因为使用空 salt 让确定散列值变得十分容易，而且还会使解决这一问题变得极其困难。在代码投入使用之后，将无法轻易更改该 salt。如果攻击者知道散列值使用了空 salt，他们就可以计算出该应用程序的“彩虹表”，并更轻松地确定散列值。

例 1： 下列代码使用了空 salt：

...
dk = OpenSSL::PKCS5.pbkdf2_hmac(password, "", 100000, 256, digest)
...

此代码将成功运行，但任何有权访问此代码的人都可以访问（空）salt。一旦程序发布，可能无法更改空 salt。雇员可以利用手中掌握的信息访问权限入侵系统。

空 salt 可能会削弱系统安全性，一旦出现安全问题将无法轻易修正。

使用空 salt 绝非好方法。这不仅是因为使用空 salt 让确定散列值变得十分容易，而且还会使解决这一问题变得极其困难。在代码投入使用之后，将无法轻易更改该 salt。如果攻击者知道散列值使用了空 salt，他们就可以计算出该应用程序的“彩虹表”，并更轻松地确定散列值。

示例 1：以下代码使用了空 salt：

...
let ITERATION = UInt32(100000)
...
CCKeyDerivationPBKDF(CCPBKDFAlgorithm(kCCPBKDF2),
password,
passwordLength,
"",
0,
CCPseudoRandomAlgorithm(kCCPRFHmacAlgSHA256),
ITERATION,
derivedKey,
derivedKeyLength)

此代码将成功运行，但任何有权访问此代码的人都可以访问（空）salt。一旦程序发布，可能无法更改空 salt。雇员可以利用手中掌握的信息访问权限入侵系统。