sicherste Weg Passwörter Hash

Question

Ich habe das Verfahren (Pseudocode):

string predefinedsalt = "03jf0j02j302jf0j3f08h3298fbckm91jr192jr091j2-r01" 

string dynsalt(user) 
{ 
    return md5(user.id) 
} 

Und Passwort Hash ich eine dieser Möglichkeiten nutzen wollen:

1. md5(user.password)
2. md5(user.password + predefinedsalt)
3. md5(user.password + dynsalt(user))
4. md5(md5(user.password) + dynsalt(user))

Welche dieser Wege ist sicherer?

Answer 1

Keiner Ihrer Vorschläge ist sicher für Hash-Passwörter. Verwenden Sie eine langsame Hash-Funktion mit einem Kostenfaktor wie BCrypt, PBKDF2 oder SCrypt und lassen Sie die Funktion ein Salz aus der zufälligen Quelle des Betriebssystems generieren.

Password Cracker-Tools implementieren solche Kombinationen bereits mit MD5 aus der Box, und MD5 ist viel zu schnell. Man kann etwa 100 Giga MD5 per second mit gängiger Hardware berechnen.