Cách tốt nhất để lưu trữ mật khẩu trong cơ sở dữ liệu [đã đóng]

Tôi đang làm việc trên một dự án phải có xác thực (tên người dùng và mật khẩu)

Nó cũng kết nối với cơ sở dữ liệu, vì vậy tôi đoán rằng tôi sẽ lưu tên người dùng và mật khẩu ở đó. Tuy nhiên, có vẻ như không phải là một ý tưởng tốt để có mật khẩu chỉ là một trường văn bản trong một bảng nằm trên cơ sở dữ liệu.

Tôi đang sử dụng C # và kết nối với máy chủ chuyển phát nhanh năm 2008. Bất cứ ai cũng có thể đề xuất (với càng nhiều ví dụ càng tốt) cách tốt nhất để lưu trữ loại dữ liệu này sẽ là gì?

PS Tôi mở ra ý tưởng rằng thông tin này không được lưu trữ trong cơ sở dữ liệu nếu một lý do chính đáng có thể được cung cấp

Bạn đúng rằng lưu trữ mật khẩu trong trường văn bản đơn giản là một ý tưởng khủng khiếp . Tuy nhiên, theo như vị trí , đối với hầu hết các trường hợp bạn sẽ gặp phải (và thực sự tôi không thể nghĩ ra bất kỳ ví dụ phản biện nào) lưu trữ việc thể hiện mật khẩu trong cơ sở dữ liệu là điều nên làm. Theo cách trình bày, tôi có nghĩa là bạn muốn băm mật khẩu bằng cách sử dụng muối (nên khác với mọi người dùng) và thuật toán 1 chiều an toàn và lưu trữ mật khẩu đó , vứt bỏ mật khẩu gốc. Sau đó, khi bạn muốn xác minh mật khẩu, bạn băm giá trị (sử dụng cùng thuật toán băm và muối) và so sánh nó với giá trị băm trong cơ sở dữ liệu.

Vì vậy, trong khi đó là một điều tốt mà bạn đang nghĩ về điều này và nó là một câu hỏi hay, đây thực sự là một bản sao của những câu hỏi này (ít nhất):

• Làm thế nào để lưu trữ tốt nhất thông tin người dùng và đăng nhập và mật khẩu người dùng
• Thực hành tốt nhất để lưu trữ mật khẩu cơ sở dữ liệu
• Salting mật khẩu của bạn: Thực tiễn tốt nhất?
• Có bao giờ được lưu trữ mật khẩu trong văn bản đơn giản trong một biến php hoặc hằng php?

Để làm rõ hơn một chút về bit salting, điều nguy hiểm chỉ bằng cách băm mật khẩu và lưu trữ đó là nếu người xâm phạm nắm giữ cơ sở dữ liệu của bạn, họ vẫn có thể sử dụng cái được gọi là bảng cầu vồng để có thể "giải mã" mật khẩu (ít nhất là những mật khẩu hiển thị trong bảng cầu vồng). Để giải quyết vấn đề này, các nhà phát triển thêm một loại muối vào mật khẩu, khi được thực hiện đúng cách, làm cho các cuộc tấn công cầu vồng đơn giản là không thể thực hiện được. Xin lưu ý rằng một quan niệm sai lầm phổ biến là chỉ cần thêm cùng một chuỗi dài và duy nhất vào tất cả các mật khẩu; Trong khi điều này không phải là khủng khiếp , tốt nhất là thêm muối duy nhất vào mỗi mật khẩu. Đọc này để biết thêm.

Bối cảnh Bạn không bao giờ ... thực sự ... cần biết mật khẩu của người dùng. Bạn chỉ muốn xác minh một người dùng đến biết mật khẩu cho một tài khoản.

Hash It: Lưu mật khẩu người dùng được băm (mã hóa một chiều) thông qua chức năng băm mạnh. Tìm kiếm "mật khẩu mã hóa c #" cung cấp vô số ví dụ.

Xem trình tạo hàm băm SHA1 trực tuyến để biết ý tưởng về hàm băm tạo ra (Nhưng đừng sử dụng SHA1 làm hàm băm, hãy sử dụng thứ gì đó mạnh hơn như SHA256).

Bây giờ, mật khẩu băm có nghĩa là bạn (và kẻ trộm cơ sở dữ liệu) không thể đảo ngược hàm băm đó trở lại mật khẩu ban đầu.

Cách sử dụng: Nhưng, bạn nói, làm thế nào để tôi sử dụng mật khẩu đã được lưu trong cơ sở dữ liệu này?

Khi người dùng đăng nhập, họ sẽ đưa cho bạn tên người dùng và mật khẩu (trong văn bản gốc của nó) Bạn chỉ cần sử dụng cùng mã băm để băm mật khẩu đã nhập để có phiên bản được lưu trữ.

Vì vậy, hãy so sánh hai mật khẩu băm (băm cơ sở dữ liệu cho tên người dùng và mật khẩu đã nhập & băm). Bạn có thể biết liệu "những gì họ đã nhập" khớp với "những gì người dùng ban đầu đã nhập cho mật khẩu của họ" bằng cách so sánh các giá trị băm của họ.

Tín dụng thêm:

Câu hỏi: Nếu tôi có cơ sở dữ liệu của bạn, thì tôi không thể lấy một công cụ bẻ khóa như John the Ripper và bắt đầu thực hiện băm cho đến khi tôi tìm thấy kết quả khớp với mật khẩu được băm, lưu trữ của bạn? (vì người dùng chọn các từ ngắn, từ điển dù sao đi nữa ... nó sẽ dễ dàng)

Trả lời: Có ... có họ có thể.

Vì vậy, bạn nên 'muối' mật khẩu của bạn. Xem bài viết Wikipedia về muối

Xem ví dụ "Cách băm dữ liệu bằng muối" C #

Là một hàm băm được làm cứng bằng khóa, sử dụng thuật toán bảo mật như sha-512.

Thực hành bảo mật tốt nhất không phải là lưu trữ mật khẩu (thậm chí không được mã hóa), mà là lưu trữ hàm băm muối (với một muối duy nhất cho mỗi mật khẩu) của mật khẩu được mã hóa.

Theo cách đó, thực tế là không thể lấy lại mật khẩu văn bản gốc.

Tôi hoàn toàn khuyên bạn nên đọc các bài viết Đủ với Bàn Cầu vồng: Những điều bạn cần biết về Lược đồ mật khẩu an toàn [liên kết chết, sao chép tại Lưu trữ Internet ] và Cách lưu trữ mật khẩu an toàn .

Nhiều lập trình viên, bao gồm cả tôi, nghĩ rằng họ hiểu bảo mật và băm. Đáng buồn thay, hầu hết chúng ta không.

Tôi có thể hơi lạc đề vì bạn đã đề cập đến nhu cầu về tên người dùng và mật khẩu, và sự hiểu biết của tôi về vấn đề này được thừa nhận không phải là tốt nhất nhưng liệu OpenID có gì đáng để xem xét không?

Nếu bạn sử dụng OpenID thì cuối cùng bạn sẽ không lưu trữ bất kỳ thông tin xác thực nào nếu tôi hiểu chính xác công nghệ và người dùng có thể sử dụng thông tin đăng nhập mà họ đã có, tránh việc phải tạo một danh tính mới dành riêng cho ứng dụng của bạn.

Nó có thể không phù hợp nếu ứng dụng được đề cập hoàn toàn cho sử dụng nội bộ

RPX cung cấp một cách dễ dàng dễ dàng để kết hợp hỗ trợ OpenID vào một ứng dụng.

Trong kịch bản của bạn, bạn có thể xem thành viên asp.net, cách tốt nhất là lưu trữ mật khẩu của người dùng dưới dạng chuỗi băm trong cơ sở dữ liệu. bạn có thể xác thực người dùng bằng cách so sánh mật khẩu đến được băm với mật khẩu được lưu trong cơ sở dữ liệu.

Mọi thứ đã được xây dựng cho mục đích này, hãy xem thành viên asp.net

Tôi sẽ MD5 / SHA1 mật khẩu nếu bạn không cần phải có thể đảo ngược hàm băm. Khi người dùng đăng nhập, bạn chỉ có thể mã hóa mật khẩu đã cho và so sánh nó với hàm băm. Xung đột băm là gần như không thể trong trường hợp này, trừ khi ai đó có quyền truy cập vào cơ sở dữ liệu và thấy một hàm băm mà họ đã có xung đột.