Trong quá trình phát triển ứng dụng web, tại sao việc sử dụng các hàm băm thông thường như MD5 hoặc SHA-1 để lưu trữ mật khẩu người dùng lại cực kỳ nguy hiểm và giải pháp thay thế chuẩn Enterprise cho cấp độ Junior là gì?

Question

Accepted Answer

Bản chất vấn đề
Các thuật toán băm (Hashing) cũ như MD5 và SHA-1 có tốc độ tính toán rất nhanh và không có cơ chế chống lại việc dò tìm bằng bảng băm tính sẵn (Rainbow Table) hoặc tấn công brute-force. Khi cơ sở dữ liệu bị rò rỉ, kẻ tấn công có thể dễ dàng khôi phục lại mật khẩu gốc trong thời gian ngắn.
Giải pháp chuẩn Enterprise
Sử dụng các thuật toán băm mật khẩu chuyên dụng có tích hợp Salt và chậm có chủ đích (Key Derivation Functions) như Argon2, bcrypt, hoặc PBKDF2. Trong đó, bcrypt là lựa chọn phổ biến và an toàn cho cấp độ Junior.
Ví dụ minh họa bằng Node.js
const bcrypt = require('bcrypt');
const saltRounds = 12;

// Hàm mã hóa mật khẩu khi đăng ký
async function hashPassword(plainPassword) {
    try {
        const hashedPassword = await bcrypt.hash(plainPassword, saltRounds);
        return hashedPassword;
    } catch (error) {
        throw new Error('Lỗi mã hóa mật khẩu');
    }
}

// Hàm kiểm tra mật khẩu khi đăng nhập
async function verifyPassword(plainPassword, hashedPassword) {
    try {
        const match = await bcrypt.compare(plainPassword, hashedPassword);
        return match;
    } catch (error) {
        throw new Error('Lỗi xác thực mật khẩu');
    }
}
Lưu ý thực chiến cho Junior

Luôn luôn sử dụng Salt tự động được sinh ra bởi thư viện bcrypt thay vì tự tạo salt thủ công.
Điều chỉnh thông số saltRounds hoặc chi phí tính toán phù hợp với hiệu năng phần cứng của Server để cân bằng giữa bảo mật và trải nghiệm người dùng.

Trong quá trình phát triển ứng dụng web, tại sao việc sử dụng các hàm băm thông thường như MD5 hoặc SHA-1 để lưu trữ mật khẩu người dùng lại cực kỳ nguy hiểm và giải pháp thay thế chuẩn Enterprise cho cấp độ Junior là gì?

Bản chất vấn đề

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi cryptography liên quan cùng chủ đề