なぜパスワードハッシュに SHA-256 を使えないのですか?

SHA-256 は高速で、GPU は毎秒数十億回計算できます。bcrypt/scrypt は意図的に遅くメモリハードで、1 推論あたりミリ秒単位のコストをかけます。この非対称性こそが、遅いハッシュをオフライン総当たり攻撃から守るものです。

コストファクタはどう選ぶべきですか?

レイテンシ予算を満たす範囲で最も高いコストを選んでください。bcrypt では、コスト 10 は約 100ms、コスト 12 は約 400ms、コスト 14 は約 1.6 秒です。ハードウェアの高速化に合わせてコストを上げてください。ハッシュにコストが埋め込まれているため、古いハッシュも引き続き検証できます。

パスワードをハッシュし、平文を保存せずに後で検証する

遅いパスワードハッシュ関数(bcrypt/PBKDF2/scrypt)でソルト付きハッシュを保存し、入力されたパスワードをそれと照合して検証します。

1

パスワードを平文や高速ハッシュ(MD5/SHA-256)で保存してはなりません。簡単に総当たり破解されます。意図的に CPU/メモリコストをかける遅いソルト付き KDF(bcrypt、scrypt、PBKDF2)を使えば、大量クラックが現実的でなくなります。
2

bcrypt ハッシュ生成 →
パスワードとコストファクタを入力します(対話用途には 10〜12、機密用途には 12〜14)。ツールは、アルゴリズム、コスト、ソルト、ダイジェストを含む自己記述的なハッシュを出力します。
3

ハッシュ比較ツール →
検証には、候補パスワードと保存された bcrypt ハッシュを入力します。ツールは埋め込みのソルトとコストで再ハッシュし、定数時間で比較します。タイミング情報を漏らさずに true/false を返します。
4

hash → crc32
レシピを見るツールチェーンで開く

ハッシュと検証のチェーンを使って、ライフサイクル全体をテストします。パスワードをハッシュし、正しい候補と誤った候補の両方を一度に検証します。

よくある質問

なぜパスワードハッシュに SHA-256 を使えないのですか?: SHA-256 は高速で、GPU は毎秒数十億回計算できます。bcrypt/scrypt は意図的に遅くメモリハードで、1 推論あたりミリ秒単位のコストをかけます。この非対称性こそが、遅いハッシュをオフライン総当たり攻撃から守るものです。
コストファクタはどう選ぶべきですか?: レイテンシ予算を満たす範囲で最も高いコストを選んでください。bcrypt では、コスト 10 は約 100ms、コスト 12 は約 400ms、コスト 14 は約 1.6 秒です。ハードウェアの高速化に合わせてコストを上げてください。ハッシュにコストが埋め込まれているため、古いハッシュも引き続き検証できます。