Weak PBKDF2 iterations (ARCH332)

Anahtar dotnet.security.weak-pbkdf2-iterations · Önem warning · Kategori security · CWE CWE-916

PBKDF2 için düşük iterasyon sayısı kullanmak, türetilen anahtarın hesaplama maliyetini azaltır ve saldırganların kaba kuvvet ya da sözlük saldırılarıyla parolaları kırmasını kolaylaştırır.

Hatalı

var hash = new Rfc2898DeriveBytes(
    password, salt, 1000, HashAlgorithmName.SHA1).GetBytes(32);

Doğru

var hash = new Rfc2898DeriveBytes(
    password, salt, 100_000, HashAlgorithmName.SHA256).GetBytes(32);

Düzeltme

PBKDF2 için en az 100.000 iterasyon ve SHA-256 kullanın; donanım geliştikçe iterasyon sayısını düzenli olarak artırın.