Questão 67229

Um professor de um curso técnico de informática está ensinando sobre segurança de bancos de dados. Ele quer que seus alunos compreendam a importância de armazenar senhas de forma segura, e não em texto plano. Para isso, ele apresenta o conceito de 'hashing' de senhas. Ele explica: "Nunca armazene senhas em texto plano em seu banco de dados. Se o banco de dados for comprometido, todas as senhas dos usuários serão expostas. Em vez disso, as senhas devem ser 'hasheadas'. Uma função de hash criptográfica (como SHA-256 ou Argon2) é uma função de mão única: ela pega uma entrada (a senha) e produz uma saída de tamanho fixo (o hash), que não pode ser revertida para obter a senha original. Quando um usuário tenta fazer login, o sistema não compara as senhas, mas sim o hash da senha digitada com o hash armazenado no banco de dados." No entanto, ele explica que o hashing simples não é suficiente devido aos 'ataques de tabela arco-íris' (rainbow table attacks). Ele continua, citando um artigo da OWASP: "Se dois usuários tiverem a mesma senha, eles terão o mesmo hash. Um atacante pode pré-calcular os hashes de milhões de senhas comuns e armazená-los em uma tabela (a rainbow table). Ao obter um banco de dados de hashes, ele pode simplesmente procurar os hashes na sua tabela para descobrir as senhas originais. Para mitigar isso, usamos uma técnica chamada 'salting'. Um 'sal' (salt) é uma string aleatória única gerada para cada usuário. O sal é concatenado à senha antes de aplicar a função de hash. O sal é então armazenado junto com o hash no banco de dados."

Por que a técnica de 'salting' torna os ataques de tabela arco-íris ineficazes?