Weak Cryptographic Hash: Empty PBE Salt

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是個好方法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。進入量產階段之後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。
範例 1：以下程式碼使用空白 Salt：

...
const salt = "";
crypto.pbkdf2(
    password,
    salt,
    iterations,
    keyLength,
    "sha256",
    function (err, derivedKey) { ... }
);

此程式碼可能會順利執行，但有存取權的任何人都能看出它使用了空白的 Salt。程式發佈後，除非修補此程式，否則可能無法變更空白的 Salt。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害系統。

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是明智的想法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。

範例 1：以下程式碼使用空白 Salt：

...
CCKeyDerivationPBKDF(kCCPBKDF2,
                     password,
                     passwordLen,
                     "",
                     0,
                     kCCPRFHmacAlgSHA256,
                     100000,
                     derivedKey,
                     derivedKeyLen);
...

此程式碼將成功執行，但任何有程式碼存取權限的人都可以存取 (空白) Salt。程式發佈後，就可能無法變更空白 Salt。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是明智的想法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。

範例 1：以下程式碼使用空白 Salt：

...
$hash = hash_pbkdf2('sha256', $password, '', 100000);
...

此程式碼將成功執行，但任何有程式碼存取權限的人都可以存取 (空白) Salt。程式發佈後，就可能無法變更空白 Salt。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是明智的想法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。

範例 1：以下程式碼使用空白 Salt：

from hashlib import pbkdf2_hmac
...
dk = pbkdf2_hmac('sha256', password, '', 100000)
...

此程式碼將成功執行，但任何有程式碼存取權限的人都可以存取 (空白) Salt。程式發佈後，就可能無法變更空白 Salt。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是明智的想法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。

範例 1：以下程式碼使用空白 Salt：

...
dk = OpenSSL::PKCS5.pbkdf2_hmac(password, "", 100000, 256, digest)
...

此程式碼將成功執行，但任何有程式碼存取權限的人都可以存取 (空白) Salt。程式發佈後，就可能無法變更空白 Salt。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

空白 Salt 會導致無法輕易修正系統的安全性問題。

使用空白 Salt 絕對不是明智的想法。使用空白 Salt 不僅可讓人輕而易舉地判斷出雜湊值，也會使得極難修正問題。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者猜測出值是使用空白 Salt 進行雜湊處理的，就可計算應用程式的「彩虹表」，並且更輕鬆地判斷出雜湊值。

範例 1：以下程式碼使用空白 Salt：

...
let ITERATION = UInt32(100000)
...
CCKeyDerivationPBKDF(CCPBKDFAlgorithm(kCCPBKDF2),
password,
passwordLength,
"",
0,
CCPseudoRandomAlgorithm(kCCPRFHmacAlgSHA256),
ITERATION,
derivedKey,
derivedKeyLength)

此程式碼將成功執行，但任何有程式碼存取權限的人都可以存取 (空白) Salt。程式發佈後，就可能無法變更空白 Salt。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。