Zayıf KDF Yineleme Sayısı (ARCH5116)

Anahtar go.security.weak-kdf-iterations · Önem warning · Kategori security · CWE CWE-916

Parola türetme fonksiyonunu çok düşük yineleme sayısıyla kullanmak veya parolayı hızlı bir hash ile saklamak, kaba kuvvet saldırılarına karşı direnci zayıflatır.

Hatalı

func hashPassword(pw, salt []byte) []byte {
  return pbkdf2.Key(pw, salt, 1000, 32, sha256.New) // çok düşük
}

Doğru

func hashPassword(pw, salt []byte) []byte {
  return pbkdf2.Key(pw, salt, 600_000, 32, sha256.New)
}

Düzeltme

PBKDF2 için yüksek bir yineleme sayısı (OWASP: SHA-256 ile 600.000+) kullanın veya bcrypt/scrypt/argon2 gibi bir KDF’yi tercih edin.