ペッパー

ソルトは公開されていてユーザーごとに異なる。ペッパーはシステム全体で共通で、設定ファイルやHSMなど別の場所に置く。データベースだけを盗んでペッパーを持たない者は、ハッシュに対して推測を照合できない。推測のたびに、手元にない秘密の値が必要になるからだ。

ペッパーはソルトの代わりにはならず、弱いハッシュ関数がペッパーのおかげで強くなるわけでもない。ペッパーがハッシュと同じデータベースにあるなら、手間が一つ増えるだけだ。変更するには次回ログイン時の再ハッシュが必要になるので、ローテーションは必要になる前に計画しておくこと。