วิธีที่ดีที่สุดในการจัดเก็บรหัสผ่านในฐานข้อมูล [ปิด]

ฉันกำลังทำงานในโครงการที่ต้องมีการรับรองความถูกต้อง (ชื่อผู้ใช้และรหัสผ่าน)

นอกจากนี้ยังเชื่อมต่อกับฐานข้อมูลดังนั้นฉันจึงคิดว่าฉันจะเก็บชื่อผู้ใช้และรหัสผ่านที่นั่น อย่างไรก็ตามดูเหมือนว่าไม่ใช่ความคิดที่ดีที่จะมีรหัสผ่านเป็นเพียงฟิลด์ข้อความในตารางที่อยู่ในฐานข้อมูล

ฉันใช้ C # และเชื่อมต่อกับเซิร์ฟเวอร์ Express 2008 ใครสามารถแนะนำ (ด้วยตัวอย่างให้ได้มากที่สุด) วิธีที่ดีที่สุดในการจัดเก็บข้อมูลประเภทนี้คืออะไร?

ป.ล. ฉันเปิดรับความคิดที่ว่าข้อมูลนี้ไม่ถูกเก็บไว้ในฐานข้อมูลหากสามารถให้เหตุผลที่ดีได้

คุณถูกต้องว่าการจัดเก็บรหัสผ่านในฟิลด์ข้อความล้วนเป็นแนวคิดที่น่ากลัว อย่างไรก็ตามตราบใดที่สถานที่ตั้งไปสำหรับกรณีส่วนใหญ่คุณจะพบ (และฉันไม่สามารถคิดจริง ๆ ตัวอย่างเคาน์เตอร์) จัดเก็บการแสดงรหัสผ่านในฐานข้อมูลเป็นสิ่งที่เหมาะสมที่จะทำ โดยเป็นตัวแทนผมหมายถึงว่าคุณต้องการที่จะกัญชารหัสผ่านโดยใช้เกลือ (ซึ่งควรจะแตกต่างกันสำหรับผู้ใช้ทุกคน) และอัลกอริทึม 1 วิธีที่ปลอดภัยและเก็บที่ทิ้งรหัสผ่านเดิม จากนั้นเมื่อคุณต้องการตรวจสอบรหัสผ่านคุณแฮชค่า (โดยใช้อัลกอริทึมการแฮชและเกลือเดียวกัน) และเปรียบเทียบกับค่าแฮชในฐานข้อมูล

ดังนั้นในขณะที่มันเป็นสิ่งที่ดีที่คุณคิดเกี่ยวกับเรื่องนี้และเป็นคำถามที่ดีนี่เป็นคำถามที่ซ้ำกันจริง ๆ (อย่างน้อย):

• วิธีจัดเก็บข้อมูลผู้ใช้และการเข้าสู่ระบบและรหัสผ่านของผู้ใช้ที่ดีที่สุด
• แนวทางปฏิบัติที่ดีที่สุดสำหรับการจัดเก็บรหัสผ่านฐานข้อมูล
• การเกลือรหัสผ่านของคุณ: แนวทางปฏิบัติที่ดีที่สุด
• มันเคยตกลงที่จะเก็บรหัสผ่านในข้อความธรรมดาในตัวแปร php หรือ php คงที่?

เพื่อชี้แจงเพิ่มเติมเล็กน้อยเกี่ยวกับ salting bit อันตรายด้วยการเพียงแค่ใส่รหัสผ่านและการจัดเก็บนั่นคือถ้าผู้บุกรุกบุกรุกฐานข้อมูลของคุณพวกเขายังสามารถใช้สิ่งที่รู้จักกันในชื่อRainbow tableเพื่อ "ถอดรหัส" รหัสผ่าน (อย่างน้อยผู้ที่แสดงในตารางสายรุ้ง) ในการหลีกเลี่ยงปัญหานี้ผู้พัฒนาเพิ่มเกลือลงในรหัสผ่านซึ่งเมื่อทำอย่างถูกต้องแล้วจะทำให้การโจมตีแบบสายรุ้งเป็นไปไม่ได้ที่จะทำ โปรดทราบว่าการเข้าใจผิดที่พบบ่อยคือการเพิ่มสตริงที่ไม่ซ้ำและยาวแบบเดียวกันให้กับรหัสผ่านทั้งหมด ในขณะที่สิ่งนี้ไม่น่ากลัวแต่เป็นการดีที่สุดที่จะเพิ่มเกลือที่ไม่ซ้ำกันในทุกรหัสผ่าน อ่านเพิ่มเติม

พื้นหลัง คุณไม่เคย ... จริง ๆ ... จำเป็นต้องรู้รหัสผ่านของผู้ใช้ คุณเพียงแค่ต้องการตรวจสอบผู้ใช้ที่เข้ามารู้รหัสผ่านสำหรับบัญชี

Hash It: เก็บรหัสผ่านของผู้ใช้ที่แฮช (การเข้ารหัสแบบทางเดียว) ผ่านฟังก์ชั่นแฮชที่แข็งแกร่ง การค้นหา "c # เข้ารหัสรหัสผ่าน" ให้ตัวอย่างมากมาย

ดูผู้สร้างแฮช SHA1 ออนไลน์เพื่อดูแนวคิดเกี่ยวกับฟังก์ชันแฮชที่สร้าง (แต่อย่าใช้ SHA1 เป็นฟังก์ชันแฮชใช้อะไรที่แรงกว่าเช่น SHA256)

ตอนนี้รหัสผ่านที่ถูกแฮชหมายความว่าคุณ (และขโมยฐานข้อมูล) ไม่สามารถย้อนกลับการแฮชกลับไปเป็นรหัสผ่านเดิมได้

วิธีใช้: แต่คุณจะบอกว่าฉันจะใช้รหัสผ่านที่ถูกบดซึ่งจัดเก็บไว้ในฐานข้อมูลได้อย่างไร

เมื่อผู้ใช้เข้าสู่ระบบพวกเขาจะมอบชื่อผู้ใช้และรหัสผ่านให้คุณ (ในข้อความต้นฉบับ) คุณเพียงแค่ใช้รหัสแฮชเดียวกันเพื่อแฮชรหัสผ่านที่พิมพ์ไว้เพื่อรับรุ่นที่เก็บไว้

ดังนั้นเปรียบเทียบรหัสผ่านที่แฮชสองรหัส (แฮชฐานข้อมูลสำหรับชื่อผู้ใช้และรหัสผ่านที่พิมพ์ใน & แฮช) คุณสามารถบอกได้ว่า "สิ่งที่พวกเขาพิมพ์ใน" จับคู่ "สิ่งที่ผู้ใช้เดิมป้อนสำหรับรหัสผ่านของพวกเขา" โดยการเปรียบเทียบแฮชของพวกเขา

สินเชื่อพิเศษ:

คำถาม:ถ้าฉันมีฐานข้อมูลของคุณฉันไม่สามารถใช้แคร็กเกอร์อย่าง John the Ripper และเริ่มแฮชได้จนกว่าฉันจะหาคู่ที่ตรงกับที่คุณเก็บไว้และรหัสผ่านที่แฮช (เนื่องจากผู้ใช้เลือกคำศัพท์สั้น ๆ อยู่ดี ... มันควรจะง่าย)

คำตอบ:ใช่ ... ใช่พวกเขาทำได้

ดังนั้นคุณควร 'เกลือ' รหัสผ่านของคุณ ดูบทความ Wikipedia เกี่ยวกับเกลือ

ดู"วิธีแฮชข้อมูลด้วยเกลือ" ตัวอย่าง C #

ในฐานะที่เป็นกัญชาเค็มที่มีความแข็งหลักโดยใช้อัลกอริทึมที่ปลอดภัยเช่น sha-512

แนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดคือไม่ต้องเก็บรหัสผ่านเลย (ไม่เข้ารหัสแม้แต่) แต่เพื่อเก็บแฮชเค็ม (ด้วยเกลือที่ไม่ซ้ำกันต่อรหัสผ่าน) ของรหัสผ่านที่เข้ารหัส

วิธีนี้เป็นไปไม่ได้เลยที่จะดึงรหัสผ่านแบบธรรมดา

ฉันอย่างละเอียดขอแนะนำให้อ่านบทความตารางเพียงพอกับ The Rainbow: สิ่งที่คุณต้องรู้เกี่ยวกับการรักษาความปลอดภัยรหัสผ่านแบบแผน [ลิงค์ตายคัดลอกที่อินเทอร์เน็ต Archive ] และวิธีการอย่างปลอดภัยเก็บรหัสผ่าน

ตัวเข้ารหัสจำนวนมากรวมอยู่ด้วยตัวเองคิดว่าพวกเขาเข้าใจความปลอดภัยและการแฮช น่าเศร้าที่พวกเราส่วนใหญ่ไม่ได้ทำ

ฉันอาจไม่ได้พูดถึงเรื่องเล็กน้อยในขณะที่คุณพูดถึงความจำเป็นในการใช้ชื่อผู้ใช้และรหัสผ่านและความเข้าใจของฉันเกี่ยวกับปัญหานั้นไม่ได้ดีที่สุด แต่เป็นสิ่งที่ OpenID ควรพิจารณาหรือไม่

หากคุณใช้ OpenID คุณจะไม่ต้องจัดเก็บข้อมูลรับรองใด ๆ เลยหากฉันเข้าใจเทคโนโลยีอย่างถูกต้องและผู้ใช้สามารถใช้ข้อมูลรับรองที่มีอยู่แล้วได้โดยหลีกเลี่ยงความจำเป็นในการสร้างข้อมูลประจำตัวใหม่ที่เฉพาะเจาะจงกับแอปพลิเคชันของคุณ

อาจไม่เหมาะสมหากแอปพลิเคชันที่เป็นปัญหานั้นมีวัตถุประสงค์เพื่อใช้ภายในเท่านั้น

RPXมอบวิธีที่ง่ายในการรวมการสนับสนุน OpenID เข้ากับแอปพลิเคชัน

ในสถานการณ์ของคุณคุณสามารถดูการเป็นสมาชิก asp.net เป็นวิธีที่ดีในการจัดเก็บรหัสผ่านของผู้ใช้เป็นสตริงแฮชในฐานข้อมูล คุณสามารถตรวจสอบผู้ใช้โดยการเปรียบเทียบรหัสผ่านที่แฮชเข้ากับที่เก็บไว้ในฐานข้อมูล

ทุกอย่างถูกสร้างขึ้นเพื่อจุดประสงค์นี้ลองดูการเป็นสมาชิก asp.net

ฉันจะใช้รหัสผ่าน MD5 / SHA1 หากคุณไม่ต้องการแฮชย้อนกลับ เมื่อผู้ใช้เข้าสู่ระบบคุณสามารถเข้ารหัสรหัสผ่านที่กำหนดและเปรียบเทียบกับแฮช การชนกันของแฮชแทบจะเป็นไปไม่ได้ในกรณีนี้เว้นแต่มีใครบางคนเข้าถึงฐานข้อมูลและเห็นว่าแฮชมีการชนกันอยู่แล้ว