Как правильно хранить пароли пользователей?

Базы утекают — значит, нужно, чтобы по утёкшим данным нельзя было быстро восстановить пароли (люди используют их на других сайтах).

Почему не шифрование. Зашифрованный пароль расшифровывается ключом, а ключ лежит рядом с базой. Сравнивать можно и без исходного пароля.

Почему не обычный хеш. Хеш необратим, но быстрый: SHA-256 на видеокарте — миллиарды вычислений в секунду. Короткие и словарные пароли перебираются за минуты. Без соли ещё хуже: одинаковые пароли дают одинаковые хеши, и есть готовые радужные таблицы — заранее посчитанные хеши популярных паролей.

Как правильно:

• соль — случайные 16+ байт на каждого пользователя, хранится рядом с хешем. Атакующему приходится перебирать каждого отдельно;
• медленная функция — специально дорогая по времени и памяти:
  • argon2id — современная рекомендация, настраивается память, итерации и параллелизм; память мешает перебору на видеокартах;
  • bcrypt — проверенный временем, параметр cost (каждая единица удваивает время), ограничение длины пароля 72 байта;
  • scrypt, PBKDF2 (если нужна сертификация FIPS, с большим числом итераций);
• параметры стоимости хранятся в строке хеша ($argon2id$v=19$m=65536,t=3, p=4$соль$хеш) — можно повышать со временем и перехешировать при следующем входе;
• перец (pepper) — дополнительный секрет вне базы (в HSM или KMS), по желанию.

Вокруг хранения: ограничение числа попыток входа и задержки, одинаковое сообщение «неверный логин или пароль», сравнение за постоянное время (библиотеки делают сами), проверка новых паролей по базе утёкших (Have I Been Pwned), минимальная длина важнее правил «цифра и спецсимвол», двухфакторная аутентификация, а лучше — passkeys.

from argon2 import PasswordHasher
ph = PasswordHasher()                     # argon2id с разумными параметрами
stored = ph.hash("correct horse battery staple")
# '$argon2id$v=19$m=65536,t=3,p=4$Z3Vp…$Xh9…' — соль и параметры внутри строки
ph.verify(stored, "correct horse battery staple")   # True, иначе исключение
if ph.check_needs_rehash(stored):
    stored = ph.hash(password)            # параметры усилились — перехешировать