SHA-256 密码生成器

Question

我看到有个用JavaScript写的SHA-256算法的实现。我想问一下，使用SHA-256（无论是用JavaScript实现的还是用Python的标准模块）作为密码生成器是否安全？有什么优缺点？

我记住一个密码，然后把它放在网站地址后面，生成的文本就作为那个网站的密码。每次需要密码的时候都重复这个过程，其他网站也是一样。

Answer 1

SHA-256会生成非常长的字符串。如果你想要更简单的结果，使用random.choice()从一个字符串中随机选择固定次数的字符会更好。

Answer 2

我觉得你在说的是 SuperGenPass 使用的方法：

就是用一个主密码（在每个网站上都用同一个），然后把这个密码和网站的域名拼在一起，最后再进行哈希处理。

没错，使用SHA-256这种算法会比较安全，可能比SuperGenPass用的算法还要安全。不过，这样生成的密码会非常长，很多网站可能不接受这么长的密码。而且，这种方法生成的密码也不一定同时包含数字、字母和特殊字符，而有些网站是要求必须包含这些的。

还有一个问题是，如果你的主密码以某种方式泄露了（不是通过破解算法，而是其他方式），那么你所有的密码都会被人拿到。

完全随机生成的密码是最安全的（如果我们不考虑如何安全存储这些密码的问题）。