Подходит ли bcrypt для больших веб-сайтов?

Этот вопрос был перенесениз Stack Exchange для веб-мастеров, поскольку на него можно ответить на Stack Overflow. Перенесено7 лет назад.

Я уже некоторое время пользуюсь поддержкой bcrypt, но не могу ответить на простой наводящий вопрос.

Представьте, что у меня есть достаточно успешный веб-сайт в США... около 100 000 активных пользователей, каждый из которых имеет шаблоны активности, требующие в среднем от 2 до 3 попыток аутентификации в течение типичного американского рабочего дня (12 часов, если учесть часовые пояса). . Это 250 000 запросов на аутентификацию в день или около 5,8 аутентификаций в секунду.

Одна из замечательных особенностей bcrypt заключается в том, что вы настраиваете его так, чтобы со временем он масштабировался так же, как аппаратное обеспечение, чтобы опережать взломщиков. Обычная настройка заключается в том, чтобы заставить его создавать чуть более 1/10 секунды на создание хэша... скажем, я получаю 0,173 секунды на хеш. Я выбрал это число, потому что так уж получилось, что 0,173 секунды на хэш составляют около 5,8 хэшей в секунду. Другими словами, мой гипотетический веб-сервер буквально тратит все свое время только на аутентификацию пользователей. Не говоря уже о какой-либо полезной работе.

Чтобы решить эту проблему, мне пришлось бы либо снизить уровень bcrypt (не очень хорошая идея), либо получить выделенный сервер только для аутентификации, и больше ничего. А теперь представьте, что сайт растет и добавляет еще 100 000 пользователей. Внезапно мне нужны два сервера: опять же, ничего не делающие, кроме аутентификации. Даже не думайте о скачках нагрузки, так как в течение дня у вас бывают периоды легкой и напряженной работы.

На мой взгляд, это одна из тех проблем, которые было бы неплохо иметь, и bcrypt все равно стоил бы затраченных усилий.Но я хотел бы знать, не упускаю ли я здесь что-то очевидное? Что-то тонкое? Или кто-нибудь действительно может указать на известный веб-сайт, на котором работает целая ферма серверов, только для части аутентификации своего сайта?

задан Joel Coehoorn 14 March 2012 в 03:44

0 ответов

Другие вопросы по тегам:

authentication passwords performance scalability security

Подходит ли bcrypt для больших веб-сайтов?

0 ответов

Похожие вопросы: