https://blog.qife122.com/tags/%E5%AF%86%E7%A0%81%E5%93%88%E5%B8%8C/ Recent content in 密码哈希 on 办公AI智能小助手 Hugo zh-cn qife Tue, 30 Dec 2025 07:46:21 +0800 https://blog.qife122.com/p/%E5%AF%86%E7%A0%81%E7%A0%B4%E8%A7%A3%E4%B9%8B%E6%88%98pbkdf2bcrypt%E4%B8%8Eargon2%E7%9A%84gpu%E5%8A%A0%E9%80%9F%E6%80%A7%E8%83%BD%E5%AF%B9%E6%AF%94/ Tue, 30 Dec 2025 07:46:21 +0800 https://blog.qife122.com/p/%E5%AF%86%E7%A0%81%E7%A0%B4%E8%A7%A3%E4%B9%8B%E6%88%98pbkdf2bcrypt%E4%B8%8Eargon2%E7%9A%84gpu%E5%8A%A0%E9%80%9F%E6%80%A7%E8%83%BD%E5%AF%B9%E6%AF%94/ <h1 id="gpu加速对pbkdf2bcrypt与argon2的影响">GPU加速对PBKDF2、bcrypt与Argon2的影响</h1> <p>我目前有一项服务使用PBKDF2-HMAC-SHA256进行密码哈希，我考虑将其升级为对GPU破解更具抵抗力的算法。因此，我一直在研究我的选择，比较PBKDF2-HMAC-SHA256、bcrypt和Argon2。对于Argon2可配置的内存成本，考虑到我的各种限制，我确定我无法真正使用超过64 MB的内存。</p> https://blog.qife122.com/p/serverpod-%E5%8D%87%E7%BA%A7%E5%AF%86%E7%A0%81%E5%93%88%E5%B8%8C%E5%AD%98%E5%82%A8%E5%AE%89%E5%85%A8%E6%9C%BA%E5%88%B6%E5%BA%94%E5%AF%B9%E5%BD%A9%E8%99%B9%E8%A1%A8%E6%94%BB%E5%87%BB%E7%9A%84-argon2id-%E6%96%B9%E6%A1%88/ Wed, 10 Dec 2025 04:56:23 +0800 https://blog.qife122.com/p/serverpod-%E5%8D%87%E7%BA%A7%E5%AF%86%E7%A0%81%E5%93%88%E5%B8%8C%E5%AD%98%E5%82%A8%E5%AE%89%E5%85%A8%E6%9C%BA%E5%88%B6%E5%BA%94%E5%AF%B9%E5%BD%A9%E8%99%B9%E8%A1%A8%E6%94%BB%E5%87%BB%E7%9A%84-argon2id-%E6%96%B9%E6%A1%88/ <h1 id="cve-2024-29886serverpod-改进存储密码哈希的安全性">CVE-2024-29886：Serverpod 改进存储密码哈希的安全性</h1> <p><strong>漏洞详情</strong></p> <ul> <li><strong>包</strong>: <code>serverpod_auth_server</code> (Pub)</li> <li><strong>受影响版本</strong>: &lt; 1.2.6</li> <li><strong>已修复版本</strong>: 1.2.6</li> <li><strong>严重程度</strong>: 中等 (CVSS 评分 5.3)</li> <li><strong>弱点</strong>: CWE-916 - 使用计算量不足的密码哈希</li> </ul> <p><strong>描述</strong></p> <p>Serverpod 现已使用 OWASP 推荐的 Argon2Id 密码哈希算法来存储电子邮件认证模块的密码哈希。</p> https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E7%AB%AF%E7%82%B9%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ Sat, 20 Sep 2025 03:48:39 +0800 https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E7%AB%AF%E7%82%B9%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ <h1 id="未受保护的api端点导致荷兰15万医生用户名和哈希密码泄露">未受保护的API端点导致荷兰1.5万医生用户名和哈希密码泄露</h1> <h2 id="背景">背景</h2> <p>作者身兼医疗从业者与安全研究员双重身份，旨在通过道德黑客技术评估医疗系统安全性。本次研究对象为荷兰两大全科医生专业组织：Nederlandse Huisartsen Genootschap（NHG）与Landelijke Huisartsen Vereniging（LHV），二者共同服务全国1.3万名全科医生。</p> https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ Fri, 19 Sep 2025 06:41:39 +0800 https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ <h1 id="未受保护的api端点导致hawebssonl泄露15万名医生的用户名和哈希密码">未受保护的API端点导致hawebsso.nl泄露1.5万名医生的用户名和哈希密码</h1> <h2 id="背景">背景</h2> <p>作者白天是一名全科医生，晚上则是安全研究员。本次研究目标是评估荷兰全科医生协会（NHG）和荷兰全科医生联盟（LHV）的安全性。这两个组织负责制定全科医生标准、提供教育培训并代表医生利益，目前荷兰约有1.3万名全科医生。</p> https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ Mon, 08 Sep 2025 21:09:08 +0800 https://blog.qife122.com/p/%E8%8D%B7%E5%85%B0%E5%8C%BB%E7%96%97sso%E7%B3%BB%E7%BB%9Fapi%E6%BC%8F%E6%B4%9E%E5%AF%BC%E8%87%B41.5%E4%B8%87%E5%8C%BB%E7%94%9F%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2/ <h1 id="未受保护的api端点导致15万医生用户名和哈希密码泄露">未受保护的API端点导致1.5万医生用户名和哈希密码泄露</h1> <h2 id="背景">背景</h2> <p>我白天是一名全科医生，晚上则是安全研究员。我的道德黑客目标之一是尽可能多地学习，以便能够审计医疗保健产品、应用程序、网站或基础设施的安全性。今天，我们将审视荷兰全科医生协会（NHG）和荷兰全科医生联盟（LHV）的安全性。</p> https://blog.qife122.com/p/%E6%94%BB%E5%87%BBactive-directory%E7%BB%84%E6%89%98%E7%AE%A1%E6%9C%8D%E5%8A%A1%E8%B4%A6%E6%88%B7gmsa%E7%9A%84%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ Mon, 08 Sep 2025 04:38:16 +0800 https://blog.qife122.com/p/%E6%94%BB%E5%87%BBactive-directory%E7%BB%84%E6%89%98%E7%AE%A1%E6%9C%8D%E5%8A%A1%E8%B4%A6%E6%88%B7gmsa%E7%9A%84%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ <h1 id="攻击active-directory组托管服务账户gmsa">攻击Active Directory组托管服务账户(GMSA)</h1> <p>在2020年5月的Trimarc网络研讨会&quot;保护Active Directory：解决常见问题&quot;中，我介绍了一些关于AD组托管服务账户(GMSA)安全性的信息。本文扩展了我在研讨会中讨论的攻击和防御GMSA的内容。</p>