密码盐和秘密

Question

因此,在构建webapp并存储密码时,安全性和性能都是要记住的重要事项.由于GPU的速度越来越快,我们已经看到即使盐析SHA1密码也很容易被破解的证据,我想知道存储密码的最佳做法是什么.

我认为,为了增加存储密码的安全性,你可以为salt添加一个秘密.所以例如,这个的python代码可能是:

import hashlib
import hmac

secret = 'XYZ'
h = hmac.new('salt' + secret, 'password')

• 这是常见的事吗？
• 这有什么缺点？
• 这个领域的最佳实践是什么？

PS我没有在安全论坛上发布这个,因为我想要一个webapp开发人员的观点.

Answer 1

另请参阅passlib:http://pypi.python.org/pypi/passlib/