Ist es wirklich nicht erforderlich, Salze für bcrypt zu erzeugen?

Question

Ich verwende das golang.org/x/crypto/bcrypt Paket zum Speichern von Passwörtern. Wenn ich auf Dokumentation und andere SO-Fragen schaue, scheint es, als ob ich nicht (oder zumindest nicht haben) ein Salz für das Passwort erzeugen sollte, bevor ich den Hash erzeuge. Das widerspricht allem, was ich über Kryptographie und moderne Passwortspeicherung gelesen habe, und macht mich ein bisschen nervös. Ist es wirklich sicher genug, um einfach das normale Passwort des Benutzers an bcrypt.GenerateFromPassword weiterzugeben, oder lese ich Dinge falsch?

Answer 1

Das bcrypt-Paket generates the salt für die Anwendung. Der Rückgabewert von GenerateFromPassword codiert die Kosten, das Salt und das Hash des Passworts.