V2.4.1 Credential Storage

Requirement:

Verify that passwords are stored in a form that is resistant to offline attacks. Passwords SHALL be salted and hashed using an approved one-way key derivation or password hashing function. Key derivation and password hashing functions take a password, a salt, and a cost factor as inputs when generating a password hash. (C6)

Explanation:

Пароль должен храниться в такой форме, чтобы злоумышленнику было трудно получить исходный пароль, даже если у него есть доступ к хранимому значению. Для этого пароли должны быть хэшированы с использованием соли. Соль — это случайное значение, которое добавляется к паролю перед его хэшированием. Это помогает затруднить злоумышленнику использование предварительно вычисленных таблиц хэшей для взлома пароля, поскольку значение соли уникально для каждого пароля. Функция хеширования пароля — это односторонняя функция, которая принимает пароль и соль в качестве входных данных и генерирует хэш, представляющий собой значение фиксированной длины, представляющее исходный пароль. Односторонняя функция спроектирована таким образом, что ее невозможно инвертировать с вычислительной точки зрения, то есть невозможно определить исходный пароль из хэша. Фактор стоимости является дополнительным входом в функцию хеширования пароля, который увеличивает вычислительные усилия, необходимые для создания хэша. Это может помочь сделать взлом пароля более трудным и трудоемким. Добавляя соль и хешируя пароли с помощью утвержденной функции одностороннего вывода ключей или функции хэширования паролей, а также используя коэффициент стоимости, вы можете гарантировать, что пароли хранятся в форме, устойчивой к автономным атакам, и помочь снизить риск несанкционированного доступа. к конфиденциальной информации.

Remediation:

Чтобы убедиться, что пароли хранятся в форме, устойчивой к автономным атакам, вы можете применить следующие рекомендации:

• Соль и хэш: используйте безопасную одностороннюю функцию получения ключа или функцию хэширования паролей с добовлением соли.
• Утвержденные функции: выберите одобренную и широко используемую функцию получения ключа или хеширования пароля, например bcrypt, scrypt или Argon2.
• Фактор стоимости: используйте фактор стоимости, который увеличивает время и вычислительные усилия, необходимые для создания хэша пароля, при создании хэша. Это может помочь сделать взлом пароля более трудным и трудоемким.
• Безопасное хранилище: Храните хешированные пароли безопасным образом, например, в зашифрованном виде в базе данных или файле конфигурации. 

Следуя этим рекомендациям, вы можете обеспечить хранение паролей в форме, устойчивой к автономным атакам, и помочь снизить риск несанкционированного доступа к конфиденциальной информации.

Additional:

https://cwe.mitre.org/data/definitions/916.html