網站密碼雜湊邏輯建議

結論

在 2018 的現在，按照順序能用就用

1. Argon2
2. Bcrypt
3. PBKDF2

緣由

有友人問了一下 SHA-1 拿來加密是安全的說明正不正確，我先解釋 SHA-1 是雜湊不是加密。而且 Google 花了大錢破了，業界也不建議使用了。我記得建議是 Bcrypt ，但我想確認一下。

Django

先確認 Django ，果其不然我落伍了 1.10 時就有新建議 Argon2 。

.NET (Core)

再確認 .NET (Core) ，看來預設是 PBKDF2 ，其它實作得自已處理。參考一下其它資訊，也是不建議 PBKDF2 。

參考

• https://docs.djangoproject.com/en/1.10/topics/auth/passwords/
• https://docs.microsoft.com/zh-tw/aspnet/core/security/data-protection/consumer-apis/password-hashing?view=aspnetcore-2.1
• https://andrewlock.net/exploring-the-asp-net-core-identity-passwordhasher/
• https://andrewlock.net/migrating-passwords-in-asp-net-core-identity-with-a-custom-passwordhasher/
• https://www.scottbrady91.com/ASPNET-Identity/Improving-the-ASPNET-Core-Identity-Password-Hasher