Il modo migliore per archiviare la password nel database [chiuso]

Sto lavorando a un progetto che deve avere l'autenticazione (nome utente e password)

Si collega anche a un database, quindi ho pensato che avrei memorizzato il nome utente e la password lì. Tuttavia, non sembra una buona idea avere password come solo un campo di testo in una tabella seduta sul database.

Sto usando C # e mi collego a un server espresso 2008. Qualcuno può suggerire (con il maggior numero possibile di esempi) quale sarebbe il modo migliore per archiviare questo tipo di dati?

PS Sono aperto all'idea che queste informazioni non vengano archiviate nel database se è possibile fornire una buona ragione

Hai ragione a dire che archiviare la password in un campo di testo semplice è un'idea orribile . Tuttavia, per quanto riguarda la posizione , per la maggior parte dei casi che incontrerai (e onestamente non riesco a pensare a nessun contro-esempio) archiviare la rappresentazione di una password nel database è la cosa giusta da fare. Con la rappresentazione voglio dire che si desidera hash la password utilizzando un sale (che dovrebbe essere diverso per ogni utente) e un algoritmo sicuro 1-way e negozio che , buttando via la password originale. Quindi, quando si desidera verificare una password, si esegue l'hashing del valore (utilizzando lo stesso algoritmo di hash e salt) e lo si confronta con il valore con hash nel database.

Quindi, mentre è una buona cosa che stai pensando a questo ed è una buona domanda, questo è in realtà un duplicato di queste domande (almeno):

• Come archiviare al meglio le informazioni dell'utente, il login e la password dell'utente
• Best practice per l'archiviazione delle password del database
• Salare la tua password: le migliori pratiche?
• È mai ok archiviare la password in testo semplice in una variabile php o costante php?

Per chiarire un po 'di più il bit salato, il pericolo con il semplice hashing di una password e l'archiviazione è che se un trasgressore ottiene un blocco del database, può comunque utilizzare quelle che sono note come tabelle arcobaleno per essere in grado di "decrittografare" il password (almeno quelle visualizzate nella tabella arcobaleno). Per ovviare a questo, gli sviluppatori aggiungono un sale alle password che, se eseguite correttamente, rendono semplicemente impossibile effettuare attacchi arcobaleno. Si noti che un malinteso comune è semplicemente aggiungere la stessa stringa unica e lunga a tutte le password; mentre questo non è orribile , è meglio aggiungere sali unici a ogni password. Leggi questo per di più.

Sfondo Non hai mai ... davvero ... bisogno di conoscere la password dell'utente. Vuoi solo verificare che un utente in arrivo conosca la password di un account.

Hash It: memorizza le password degli utenti con hash (crittografia unidirezionale) tramite una forte funzione hash. Una ricerca per "c # crittografare le password" fornisce un sacco di esempi.

Vedi il creatore di hash SHA1 online per avere un'idea di ciò che produce una funzione di hash (ma non usare SHA1 come funzione di hash, usa qualcosa di più forte come SHA256).

Ora, una password con hash significa che tu (e i ladri di database) non dovresti essere in grado di invertire tale hash nella password originale.

Come usarlo: Ma, dici, come posso usare questa password schiacciata memorizzata nel database?

Quando l'utente accede, ti consegneranno il nome utente e la password (nel suo testo originale) Basta usare lo stesso codice hash per eseguire l'hashing della password digitata per ottenere la versione memorizzata.

Quindi, confronta le due password con hash (hash del database per nome utente e password digitata e con hash). Puoi stabilire se "ciò che hanno digitato" corrisponde "a ciò che l'utente originale ha inserito per la password" confrontando gli hash.

Credito extra:

Domanda: se avessi il tuo database, non potrei semplicemente prendere un cracker come John lo Squartatore e iniziare a fare hash fino a quando non trovo corrispondenze con le tue password memorizzate e con hash? (dato che gli utenti scelgono comunque parole brevi del dizionario ... dovrebbe essere facile)

Risposta: Sì ... sì, possono.

Quindi, dovresti "salare" le tue password. Vedi l' articolo di Wikipedia sul sale

Vedi l' esempio C # "Come eseguire il hash dei dati con salt"

Come hash salato indurito dalle chiavi, usando un algoritmo sicuro come sha-512.

La migliore pratica di sicurezza non è di memorizzare la password (nemmeno crittografata), ma di archiviare l'hash salato (con un unico sale per password) della password crittografata.

In questo modo è (praticamente) impossibile recuperare una password in chiaro.

Consiglio vivamente di leggere gli articoli Basta con The Rainbow Tables: cosa devi sapere sugli schemi di password sicure [link morto, copia nell'archivio Internet ] e su come archiviare in modo sicuro una password .

Molti programmatori, me compreso, pensano di capire sicurezza e hash. Purtroppo la maggior parte di noi non lo fa.

Potrei essere leggermente fuori tema poiché hai menzionato la necessità di un nome utente e una password e la mia comprensione del problema non è certamente la migliore, ma vale la pena prendere in considerazione OpenID?

Se usi OpenID, non finirai per archiviare alcuna credenziale se capisco correttamente la tecnologia e gli utenti possono utilizzare le credenziali che già possiedono, evitando la necessità di creare una nuova identità specifica per la tua applicazione.

Potrebbe non essere adatto se l'applicazione in questione è puramente per uso interno

RPX offre un modo semplice per integrare il supporto OpenID in un'applicazione.

Nel tuo scenario, puoi dare un'occhiata all'appartenenza ad asp.net, è buona norma archiviare la password dell'utente come stringa con hash nel database. è possibile autenticare l'utente confrontando la password in arrivo con hash con quella memorizzata nel database.

Tutto è stato creato per questo scopo, controlla l' appartenenza ad asp.net

Vorrei MD5 / SHA1 la password se non è necessario essere in grado di invertire l'hash. Quando gli utenti effettuano l'accesso, puoi semplicemente crittografare la password fornita e confrontarla con l'hash. Le collisioni tra hash sono quasi impossibili in questo caso, a meno che qualcuno non abbia accesso al database e non veda un hash per il quale hanno già una collisione.