Muss ich das Salz mit bcrypt lagern?

Question

bCrypt's javadoc hat diesen Code dafür, wie ein Kennwort zu verschlüsseln:

String pw_hash = BCrypt.hashpw(plain_password, BCrypt.gensalt()); 

Um zu überprüfen, ob ein Text-Kennwort übereinstimmt, die zuvor die checkpw Methode gehasht wurden:

if (BCrypt.checkpw(candidate_password, stored_hash)) 
    System.out.println("It matches"); 
else 
    System.out.println("It does not match"); 

impliziert Dieser Code-Schnipsel Für mich ist das zufällig erzeugte Salz weggeworfen. Ist dies der Fall, oder ist das nur ein irreführendes Code-Snippet?

Answer 1

Das Salz wird in den Hash (in einem base64-Format formatiert) integriert.

Zum Beispiel wurde in traditionellen Unix-Passwörtern das Salz als die ersten beiden Zeichen des Passworts gespeichert. Die verbleibenden Zeichen repräsentierten den Hash-Wert. Die Checker-Funktion weiß das und zieht den Hash auseinander, um das Salz wieder heraus zu bekommen.