Modifica passwordFormat da crittografato a Hashed

Question

Sto trovando sorprendentemente poche informazioni sulla conversione di un database esistente da password crittografate a password Hashed. (Sono stato in grado di trovare un po 'più di informazioni sulla conversione in altro modo, ma non è stato di grande aiuto.)

Come molti sanno, la modifica dell'impostazione passwordFormat in web.config riguarda solo i nuovi utenti. Ho un database con un paio di centinaia di utenti e mi piacerebbe convertirli per utilizzare le password con hash senza modificare quelle esistenti.

Qualcun altro ha familiarità con come ci si potrebbe avvicinare a questo? Grazie per eventuali suggerimenti.

Answer 1

Questo è l'approccio mi piacerebbe iniziare con per vedere quanto ho ottenuto:

1. Creare due MembershipProviders nel mio web.config, uno per criptato password e una per hash.
2. Passa attraverso tutti gli utenti che utilizzano il provider di password crittografato. (SqlMembershipProvider.GetAllUsers)
3. Ottieni la password dell'utente utilizzando il provider di password crittografato. (MembershipUser.GetPassword)
4. Modificare la password dell'utente con la stessa password utilizzando il provider di password con hash. (MembershipUser.ChangePassword)

quindi sarebbe qualcosa di simile:

codice

<membership defaultProvider="HashedProvider"> 
     <providers> 
      <clear /> 
      <add name="HashedProvider" connectionStringName="MembershipConnectionString" enablePasswordRetrieval="false" requiresQuestionAndAnswer="false" applicationName="MyApp" passwordFormat="Hashed" type="System.Web.Security.SqlMembershipProvider" /> 
      <add name="EncryptedProvider" connectionStringName="MembershipConnectionString" enablePasswordRetrieval="true" requiresQuestionAndAnswer="false" applicationName="MyApp" passwordFormat="Encrypted" type="System.Web.Security.SqlMembershipProvider" /> 
     </providers> 
    </membership> 

:

SqlMembershipProvider hashedProvider = (SqlMembershipProvider)Membership.Providers["HashedProvider"]; 
SqlMembershipProvider encryptedProvider = (SqlMembershipProvider)Membership.Providers["EncryptedProvider"]; 

int unimportant; 
foreach (MembershipUser user in encryptedProvider.GetAllUsers(0, Int32.MaxValue, out unimportant)) 
{ 
    hashedProvider.ChangePassword(user.UserName, user.GetPassword(), user.GetPassword()); 
} 

Answer 2

Ti metterei in guardia contro l'hashing delle tue password in modo casuale poiché ci sono molte avvertenze su questo approccio. Questo Blog post about hashing passwords è stato molto perspicace per me, e penso che dovresti leggerlo. Perché vuoi le password con hash anziché crittografate?

Answer 3

Per motivi di sicurezza, è sicuramente la decisione giusta per passare dalle password crittografate agli hash nel database.

• Encryption vs Hashing

Generalmente per creare hash fuori le password criptate esistenti, si deve prima di loro decifrare e poi li hash. Essere consapevoli del fatto che perderai (quando finalmente cambierai) le password originali. Invece avrai un'impronta digitale (hash) unica delle password degli utenti.

Pensate anche di usare il sale per l'hashing (difesa contro rainbow tables ecc) e hanno anche uno sguardo in algoritmi di hashing lento come BCrypt (Codeplex & Article: How To Safely Store A Password) per motivi di sicurezza, invece di quelli veloci come MD5.

Tenete anche a mente che sarà molto più difficile cambiare l'algoritmo di hashing in futuro che cambiarlo dall'ecryption all'hash. Così si vuole fare bene la prima volta;)

Answer 4

soluzione di Greg è un buon inizio, ma non interesserà gli utenti esistenti. SqlMembershipProvider protegge gli utenti e le password esistenti memorizzando il PasswordFormat (0 = clear, 1 = Hashed, 2 = Encrypted) nella tabella insieme alle password. La modifica del formato della password del provider influisce solo sugli inserimenti nelle tabelle degli utenti.Per convertire le password degli utenti esistenti in Hashed, è necessario modificare il parametro PasswordFormat per ogni voce. Ecco un modo semplice per farlo:

void HashAllPasswords() 
{ 
    var clearProvider = Membership.Providers["SqlProvider_Clear"]; 
    var hashedProvider = Membership.Providers["SqlProvider_Hashed"]; 
    int dontCare; 
    if (clearProvider == null || hashedProvider == null) return; 
    var passwords = clearProvider.GetAllUsers(0, int.MaxValue, out dontCare) 
     .Cast<MembershipUser>().ToDictionary(u => u.UserName, u => u.GetPassword()); 

    using (var conn = new SqlConnection(
      ConfigurationManager.ConnectionStrings[0].ConnectionString)) 
    { 
     conn.Open(); 
     using (var cmd = new SqlCommand(
       "UPDATE [aspnet_Membership] SET [PasswordFormat]=1", conn)) 
      cmd.ExecuteNonQuery(); 
    } 

    foreach (var entry in passwords) 
    { 
     var resetPassword = hashedProvider.ResetPassword(entry.Key, null); 
     hashedProvider.ChangePassword(entry.Key, resetPassword, entry.Value); 
    } 
}