Security improvements
Toegevoegen aan de LongID REST API:
- Pepper
Een geheime waarde die alleen op de server bekend is.
Wordt niet gedeeld met de client en verhoogt de veiligheid van de hashes.
- HMAC (met SHA-256)
Wordt gebruikt om een lookup key te berekenen op basis van de ontvangen bcrypt_hash van de client en de geheime pepper.
lookup_key = HMAC(pepper, bcrypt_hash)
- Veilige opslag en lookup
De server gebruikt deze lookup_key om longids veilig op te slaan of op te zoeken in de database.
Hierdoor wordt het moeilijker voor een aanvaller om betekenisvolle informatie uit de database te halen, zelfs bij een datalek.
Edited by Hal, J. van (John)