为何建议用PBKDF2生成AES密钥？直接暴力破解口令可行吗？

直接将32字符口令作为AES-256密钥的做法存在几个关键问题，PBKDF2正是用来解决这些问题的：

1. 口令的字节空间远小于真正的随机密钥 #

你可能认为32字符的口令是“随机”的，但如果这个口令是可打印字符（比如字母、数字、符号），它的可能组合数远小于32字节全范围的随机密钥：

• 可打印ASCII字符约95种，32字符的组合数是95^32
• 32字节随机密钥的组合数是256^32
  后者的数量级比前者大得多，攻击者暴力破解的范围会小很多，更容易穷举。PBKDF2可以将任意口令（哪怕是弱口令）映射到全范围的32字节密钥空间，消除这种空间差异。

2. PBKDF2的慢哈希特性大幅提升暴力破解成本 #

PBKDF2的核心设计是迭代式哈希——它会重复执行哈希运算数千甚至数百万次。哪怕攻击者知道你的弱口令（比如apple123），每一次尝试生成密钥都必须完成所有迭代运算，这会让他们的暴力破解速度降低几个数量级。

举个例子：如果PBKDF2用100万次迭代，攻击者每秒能尝试1000个口令；如果不用PBKDF2，他们每秒可能能尝试1000万个口令。这种速度差异直接决定了弱口令是否能在合理时间内被破解。

3. 盐值彻底消除彩虹表攻击风险 #

如果直接用哈希（或直接用口令当密钥），相同的口令会生成相同的密钥。攻击者可以提前预计算大量常见口令的哈希值（彩虹表），一旦拿到你的密文，直接查表就能匹配出密钥。

而PBKDF2要求每个加密实例使用唯一的盐值（随密文存储），相同口令搭配不同盐值会生成完全不同的密钥。这让彩虹表彻底失效，攻击者必须针对你的盐值单独进行暴力破解，进一步增加了攻击成本。

关于弱口令的补充 #

你说得没错——如果口令本身极弱（比如apple123），攻击者确实可以暴力破解这个口令。但PBKDF2的作用是让这种暴力破解的成本变得极高，甚至高到攻击者无法在合理时间内完成。相比直接用口令当密钥，PBKDF2给弱口令加了一层“缓冲”，哪怕口令不够强，也能大幅提升安全性。

内容的提问来源于stack exchange，提问作者Thinker-101