Sels de mot de passe: Prepending vs. Ajout

Je viens de regarder à la mise en œuvre de hachage de mot de passe dans Django et remarqué ce qu 'il prepends sel, de sorte que la valeur de hachage est créé comme SHA1 (sel + mot de passe) , par exemple.

A mon avis, les sels sont bons pour deux raisons

1. Prévention de la table de lookups arc-en-

   D'accord, préfixer / sel annexant ne fait pas vraiment une différence pour les tables arc en ciel.

2. Durcissement contre la force brute / attaques par dictionnaire

   C'est ce que ma question est sur le point. Si quelqu'un veut attaquer un seul mot de passe à partir d'une base de données de mots de passe volés, il faut essayer beaucoup de mots de passe (par exemple, les mots du dictionnaire ou [A-Za z0-9] permutations).

   Supposons que mon mot de passe est "abcdef", le sel est "sel" et l'attaquant essaie tout [a-z] {6} mots de passe.

   Avec un sel Prepended, il faut calculer hachage ( « sel ») , stocker l'état de l'algorithme de hachage, puis passez de ce point pour chaque permutation. C'est, en passant par toutes les permutations prendrait 26 ^ 6 opérations-struct copie-hachage algorithm's-état et 26 ^ 6 hachage (permutation de [a-z] {6}) opérations. Comme la copie l'état de l'algorithme de hachage est freakin rapide, le sel ajoute guère de complexité ici, peu importe combien de temps il est.

   Mais, avec un sel annexé, l'attaquant doit calculer hachage (permutation de [a-z] {6} + sel) pour chaque permutation, ce qui conduit à 26 ^ 10 opérations de hachage. Alors, évidemment, appending ajoute la complexité en fonction de la longueur du sel sels.

   Je ne crois pas que ce soit pour des raisons historiques parce que Django est assez nouveau. Alors, quel est le sens appending sels?