איך אתרים שומרים סיסמאות נכון — Salt, bcrypt ו-Argon2

כשנרשמים לאתר, מה קורה לסיסמה? באתר מאובטח — היא אף פעם לא נשמרת כמו שהיא.

הדרך הלא-נכונה ❌

• שמירת הסיסמה כטקסט גלוי — אסון בדליפה.
• hash פשוט (MD5/SHA) בלבד — פגיע ל-rainbow tables ולכוח גס מהיר.

הדרך הנכונה ✅

1. Salt — ערך אקראי ייחודי לכל משתמש שמתווסף לסיסמה לפני ה-hash. כך שתי סיסמאות זהות יקבלו hash שונה, ו-rainbow tables לא עוזרות.
2. אלגוריתם איטי-בכוונה — bcrypt, scrypt או Argon2 (המומלץ). הם "כבדים" בכוונה כדי שניחוש בכוח גס ייקח נצח.

למה זה מציל אתכם?

אם המסד נפרץ, התוקף מקבל רק hashים מלוחים ואיטיים — פיצוח סיסמה חזקה אחת לוקח שנים. (אבל סיסמה חלשה עדיין תיפול — לכן 2FA!)

הלקח כמשתמש

אתר שמסוגל לשלוח לכם את הסיסמה שלכם במייל = שומר אותה גלויה = ברחו משם. 🚩