Weak Cryptographic Hash: Hardcoded PBE Salt

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：下列程式碼使用硬式編碼的 Salt：

    ...
    PKCS5_PBKDF2_HMAC(pass, strlen(pass), "2!@$(5#@532@%#$253l5#@$", 2, ITERATION, EVP_sha512(), outputBytes, digest);
    ...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼絕對不是個好方法。對 Salt 硬式編碼，會讓擁有來源存取權的任何人都能使用它，因此會減弱函數的加密強度。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：以下程式碼使用硬式編碼的 Salt：

...
const salt = "some constant value";
crypto.pbkdf2(
    password,
    salt,
    iterations,
    keyLength,
    "sha256",
    function (err, derivedKey) { ... }
);

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt。若不懷好意的員工有此資訊的存取權，可能會使用此資訊來危害系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：下列程式碼使用硬式編碼的 Salt：

...
CCKeyDerivationPBKDF(kCCPBKDF2,
                     password,
                     passwordLen,
                     "2!@$(5#@532@%#$253l5#@$",
                     2,
                     kCCPRFHmacAlgSHA256,
                     100000,
                     derivedKey,
                     derivedKeyLen);
...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：以下程式碼使用硬式編碼的 Salt：

...
$hash = hash_pbkdf2('sha256', $password, '2!@$(5#@532@%#$253l5#@$', 100000)
...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：下列程式碼使用硬式編碼的 Salt：

...
from hashlib import pbkdf2_hmac
dk = pbkdf2_hmac('sha256', password, '2!@$(5#@532@%#$253l5#@$', 100000)
...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：下列程式碼使用硬式編碼的 Salt：

...
dk = OpenSSL::PKCS5.pbkdf2_hmac(password, '2!@$(5#@532@%#$253l5#@$', 100000, 256, digest)
...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。

Hardcoded Salt 會導致無法輕易修正系統安全性的問題。

將 Salt 硬式編碼在程式碼中絕對不是明智的想法。將 Salt 硬式編碼不僅可讓所有的專案開發人員查看 Salt，也會使得修復問題的工作變得極度困難。產生程式碼以後，將無法輕易變更 Salt。如果攻擊者知道 Salt 的值，他們就可以計算應用程式的「彩虹表」，並更輕鬆地判斷雜湊值。
範例 1：以下程式碼使用硬式編碼的 Salt：

...
let ITERATION = UInt32(100000)
let salt = "2!@$(5#@532@%#$253l5#@$"
...
CCKeyDerivationPBKDF(CCPBKDFAlgorithm(kCCPBKDF2),
password,
passwordLength,
salt,
salt.lengthOfBytesUsingEncoding(NSUTF8StringEncoding),
CCPseudoRandomAlgorithm(kCCPRFHmacAlgSHA256),
ITERATION,
derivedKey,
derivedKeyLength)
...

此程式碼能夠順利執行，但任何有程式碼存取權限的人都可以存取 Salt。程式發佈後，就可能無法變更 Salt「2!@$(5#@532@%#$253l5#@$」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。