L'utilisation de jBCrypt pour assécher les mots de passe dans Android App provoque un blocage prolongé

Question

J'utilise le jBCrypt Library pour hacher les mots de passe des utilisateurs lorsqu'ils s'inscrivent en utilisant mon application.

J'utilise la fonction de hachage de base, avec un sel, comme ceci:

String pass = BCrypt.hashpw(rawPass, BCrypt.gensalt()); 

je remarquai une une à deux minute accrocher lors de l'enregistrement, et vérifié le débogueur, confirmant Bcrypt était responsable.

Le salage du mot de passe prend-il vraiment que beaucoup de puissance de traitement? Si oui, une bonne alternative serait d'envoyer le mot de passe en clair au serveur pour le hacher? Ma pensée originale sur le sujet était de le hacher avant qu'il ne soit envoyé n'importe où. Des idées?

Answer 1

Voici an article qui répertorie les temps pris sur un ordinateur portable Mac avec un processeur Core 2 Duo. Donc, oui, Bcrypt risque d'être très lent sur un appareil mobile.

Un autre problème commun est l'initialisation de SecureRandom qui peut être très lent et peut également se bloquer en raison du manque de données aléatoires. Cela variera entre différentes machines et systèmes d'exploitation. Vous trouverez beaucoup de discussion de cela ailleurs, mais c'est quelque chose que vous voudrez tester soit en l'initialisant vous-même en utilisant new SecureRandom() ou en appelant gensalt séparément pour isoler la génération de données aléatoires, puis juste l'heure de l'appel à hashpw.

Une autre question est pourquoi vous voulez réellement le hacher sur le client? Si vous le stockez sur le client et que vous vous connectez localement, cela peut sembler logique, mais s'il est envoyé à un serveur et qu'un login normal implique l'envoi d'un mot de passe en clair au serveur, vous ne gagnez rien. En outre, une idée fausse commune est que hacher un mot de passe avant de l'envoyer au serveur (en se connectant) offre une certaine protection, alors qu'en fait, cela équivaut à envoyer le mot de passe en clair. Un attaquant n'a obtenu que le hachage pour pouvoir y accéder.

Le hachage de mots de passe est un moyen d'empêcher un attaquant d'accéder (ou au moins de le ralentir) si le mot de passe stocké lui-même est compromis. Par conséquent, si le mot de passe est stocké sur le serveur, il doit être envoyé en clair (sur un canal sécurisé) et le serveur doit décider de la façon dont il est haché.