Salt Ne Demek?

Salt ne demek?

Salt, İngilizcede "tuz" anlamına gelir. Yemeğe tuz eklemek tadını değiştirdiği gibi, şifreye eklenen bu rastgele değer de şifrenin özetini tamamen değiştirir. Kriptografide kullanıcı şifrelerini güvenli saklamanın temel tekniklerinden biridir.

Sistem, bir kullanıcı kayıt olurken rastgele bir salt üretir. Şifre bu salt ile birleştirilir ve ardından özetlenir. Salt gizli değildir, genellikle özetin yanında veri tabanında saklanır.

Hangi saldırıları engeller?

Salt olmadan aynı şifre her zaman aynı özeti üretir. Bu iki soruna yol açar. Birincisi, saldırganlar yaygın şifrelerin özetlerini önceden hesaplayıp rainbow table adı verilen dev tablolarda saklayabilir. İkincisi, veri tabanında özetleri aynı olan kullanıcılar aynı şifreyi kullandıklarını ele verir.

Bir örnekle bakalım. Ayşe ve Mehmet'in ikisi de "Yaz2024" şifresini kullanıyor olsun. Salt kullanılmayan bir sistemde ikisinin özeti aynıdır ve biri çözülünce diğeri de açığa çıkar. Salt kullanıldığında Ayşe'nin şifresi "Yaz2024+k9F2", Mehmet'inki "Yaz2024+Qp7x" gibi farklı değerlerle birleştirildiği için özetleri tamamen farklı olur.

Tek başına yeterli mi?

Yeterli değildir. Salt hazır tabloları etkisiz kılar, ama saldırgan tek tek tahmin yapmaya devam edebilir. Bu yüzden salt, bcrypt ya da Argon2 gibi yavaş çalışan algoritmalarla birlikte kullanılmalıdır.

Bazı sistemler ek olarak "pepper" adı verilen ve veri tabanından ayrı saklanan gizli bir değer de kullanır. Kullanıcı tarafında ise kural değişmez: salt, zayıf bir şifreyi güçlü yapmaz, sadece kırılmasını zorlaştırır.