Ai-je besoin de stocker le sel avec bcrypt?

Question

bCrypt's javadoc a ce code pour savoir comment chiffrer un mot de passe:

String pw_hash = BCrypt.hashpw(plain_password, BCrypt.gensalt()); 

Pour vérifier si un mot de passe en texte clair correspond à celui qui a été haché précédemment, utilisez la méthode checkpw:

if (BCrypt.checkpw(candidate_password, stored_hash)) 
    System.out.println("It matches"); 
else 
    System.out.println("It does not match"); 

Ces extraits de code impliquent à moi que le sel généré aléatoirement est jeté. Est-ce le cas, ou est-ce juste un extrait de code trompeur?

Answer 1

Le sel est incorporé dans le hachage (codé dans un format de type base64). Par exemple, dans les mots de passe Unix traditionnels, le sel était stocké comme les deux premiers caractères du mot de passe. Par exemple, dans les mots de passe Unix traditionnels. Les caractères restants représentaient la valeur de hachage. La fonction checker le sait, et tire le hachage pour récupérer le sel.