Câu trả lời:
Đúng. Luôn tạo ra một muối mới khi mật khẩu được thay đổi .
Hãy xem xét hai kịch bản sau đây:
Tôi biết bạn không thay đổi muối cho mật khẩu của bạn. Tôi thấy admincó một loại muối là 'xyz', và bây giờ tôi nghiền ra bàn cầu vồng cho loại muối đó. Không quan trọng bạn thay đổi mật khẩu quản trị viên thành gì, tôi biết điều đó.
Tôi biết rằng người dùng đã có mật khẩu băm là 'xyz: abcdef' ( xyzlà muối, abcdeflà mật khẩu băm). Sau đó, tôi thấy rằng thông tin được băm là 'xyz: 012345' - ok, họ đã thay đổi mật khẩu của họ. Tuy nhiên, sau đó tôi thấy mật khẩu được băm là 'xyz: abcdef' và tôi biết họ đã đổi lại mật khẩu đầu tiên.
Hai tình huống mà thông tin không cần thiết được cung cấp cho kẻ tấn công sẽ tránh được một cách tầm thường bằng cách tạo ra muối mới mỗi khi mật khẩu được tạo.
Bạn sẽ lưu ý rằng chữ nghiêng trên "khi mật khẩu được thay đổi" ở trên. Điều này đã được thêm vào sau một bình luận của darkhogg hỏi rằng việc thay đổi muối thường xuyên hơn là "tốt hơn, tồi tệ hơn hay chỉ là vô dụng?"
Trên Security.SE câu hỏi về mức độ thường xuyên tôi nên đặt lại muối của mình? Trả lời này. Thay đổi muối hơn thường xuyên hơn so với thay đổi mật khẩu cho một kẻ tấn công có thể biết thêm thông tin về mật khẩu hơn là chỉ một băm.
Thay đổi muối thường xuyên hơn mật khẩu không có nghĩa là kẻ tấn công sẽ bị cản trở nhiều hơn bởi thông tin mới vì cùng một mật khẩu chính xác sẽ vẫn hoạt động cho dù muối là gì.