Argon2 против SHA-512, что лучше в моем случае?

Сначала хочу сказать, что я очень плохо разбираюсь в криптографических алгоритмах.

Я узнал онлайн, что Argon2 более безопасен, чем SHA-512, поэтому я использовал его для хеширования паролей.

Рекомендуемые параметры для Argon2:

• Память: 4 Гб
• Количество итераций: 4 или больше

На моем древнем сервере это занимает чуть меньше бесконечности для 100 пользователей… Поэтому я уменьшил параметры до:

• Память: 100 Мб
• Количество итераций: 3
• Потоки: 4 (если это важно)
• Тип: Argon2i (рекомендуется для хешей паролей)
• Размер соли: 20 байт

Эти параметры значительно ниже тех, что я нашел как рекомендуемые. Мне стало интересно…

Будет ли Argon2 с моими параметрами все еще более безопасным, чем SHA-512? Или мне стоит вернуться к SHA-512?

П.С. Если мой вопрос неясен, напишите мне, пожалуйста, я постараюсь переформулировать его.

Argon2 намеренно медленный: медленные функции хеширования хороши для хранения паролей, потому что ломать их требует времени и ресурсов. В случае Argon2 хеширование также потребляет память. Торговля в вашей настройке заключается в том, что ваше оборудование может немного быстрее вычислять хеши, и злоумышленник будет иметь такое же преимущество в той же степени. Кроме того, вам нужно потреблять ресурсы только один раз за попытку входа или создание пароля, в то время как злоумышленнику, взламывающему хеш, нужно делать это при каждой попытке.

С другой стороны, SHA-512 не предназначен для хранения паролей. Он не только быстрее на обсуждаемом оборудовании, но и значительно быстрее вычисляется на GPU или специализированном оборудовании, в то время как Argon2 не имеет этой слабости.

Argon2 настроенный на максимальную задержку, которую вы можете терпеть, если вам нужно выбирать между двумя – но лучший ответ может быть: ни то, ни другое.

Несколько судей Конкурса по хешированию паролей, которые выбрали семейство Argon2 победителем, впоследствии признали, что когда вы настраиваете Argon2 для быстродействия, как указано в исследованиях UX для интерактивной аутентификации (<=500 мс), это на самом деле хуже, чем bcrypt с точки зрения защиты (лучше для злоумышленника, хуже для защитника). Это связано с тем, что на этих уровнях настройки Argon2 менее устойчив к параллельным атакам, чем bcrypt, настроенный на ту же отзывчивость.

Так что, если вас устраивают другие ограничения bcrypt (максимум 72 символа и избегание вложенности), bcrypt может быть все еще лучшим выбором, в зависимости от вашего масштаба и модели угроз.

И любой из них будет лучшим выбором по сравнению с сырым SHA-512 (поскольку даже высокие итерации не достаточно снижают параллелизм) или sha512crypt (поскольку у него есть собственные проблемы).

Редактирование: некоторые бенчмарки, которые один из других судей PHC (Стив Томас) опубликовал, чтобы поддержать это утверждение.

Другие ответы уже объяснили, почему Argon2d лучше, чем SHA512 для хеширования паролей, но я хотел бы поделиться своим опытом настройки Argon2 для веб-сервера.

• Во-первых, выберите вариант Argon2. Хотя в спецификации написано, что Argon2i использует память с независимым доступом к данным, что предпочтительно для хеширования паролей и основанного на пароле извлечения ключа, мне больше нравится Argon2id потому, что он обеспечивает баланс устойчивости как к атакам бокового канала, так и к атакам на основе GPU.
• Во-вторых, выберите requisito памяти, поскольку веб-серверу нужно обслуживать несколько пользователей одновременно. Рекомендации OWAPS рекомендуют минимум 19MB, но вы можете использовать меньшее количество, не снижая безопасность, увеличив количество итераций.
• В-третьих, выберите количество потоков / степень параллелизма: 1 – безопасный выбор, поскольку веб-сервер уже должен использовать несколько потоков для обслуживания запросов.
• В-четвертых, выберите количество итераций, чем больше число, тем лучше, если скорость проверки не слишком медленная для вас. Правило таково: чем меньше количество памяти вы хотите, тем больше количества итераций вам потребуется для достижения того же уровня безопасности.
• Что касается размера соли и размера вывода, просто используйте значение по умолчанию вашей библиотеки хеширования. Если хотите настроить, размер соли 16 байтов и размер вывода 32 байта будет вполне достаточен.

На мой взгляд, Argon2 лучше, потому что он медленный по причине. Хакеры могут использовать устройства с очень хорошими GPU, которые могут вычислять миллиарды хешей SHA-512 в секунду, но с медленной функцией хеширования это число изменится значительно.