BCrypt. Come conservare il sale con python3?

Question

Abbiamo codice, che funziona per python 2.

@password.setter 
def password(self, value): 
    self.salt = bcrypt.gensalt() 
    self.passwd = bcrypt.hashpw(value.encode('utf-8'), self.salt) 

def check_password(self, value): 
    return bcrypt.hashpw(value.encode('utf-8'), self.salt.encode('utf-8')) == self.passwd 

Tuttavia, quando si tenta di convertirlo in python3, incontriamo seguenti problemi:

errore ci capita sul livello di driver cassandra:

cassandra.cqlengine.ValidationError: passwd <class 'bytes'> is not a string 

Ok. Casting salt and passwd to string:

@password.setter 
def password(self, value): 
    salt = bcrypt.gensalt() 
    self.salt = str(salt) 
    self.passwd = str(bcrypt.hashpw(value.encode('utf-8'), salt)) 

Ora il sale risparmia. Ma in check_password otteniamo ValueError: Invalid salt. Se cambiamo controllare il codice password:

def check_password(self, value): 
    return bcrypt.hashpw(value, self.salt) == self.passwd 

otteniamo errore TypeError: Unicode-objects must be encoded before hashing.

Dove scavare?

UPD valori di sale di password e spunta la password aspetto stesso, ad esempio:

b'$2b$12$cb03angGsu91KLj7xoh3Zu'                   
b'$2b$12$cb03angGsu91KLj7xoh3Zu' 

Answer 1

Aggiornamento

A partire dalla versione 3.1.0 bcrypt fornisce la funzione di convenienza

checkpw(password, hashed_password) 

per eseguire il controllo della password su un ha perdere la password. Questo dovrebbe essere utilizzato al posto di:

bcrypt.hashpw(passwd_to_check, hashed_passwd) == hashed_passwd 

che è mostrato di seguito. Non è ancora necessario memorizzare l'hash separatamente.

---

Prima di tutto, non è necessario per memorizzare il sale perché è parte della hash prodotto da bcrypt.hashpw(). Hai solo bisogno di memorizzare l'hash. Per esempio.

>>> salt = bcrypt.gensalt() 
>>> salt 
b'$2b$12$ge7ZjwywBd5r5KG.tcznne' 
>>> passwd = b'p@ssw0rd' 
>>> hashed_passwd = bcrypt.hashpw(passwd, salt) 
b'$2b$12$ge7ZjwywBd5r5KG.tcznnez8pEYcE1QvKshpqh3rrmwNTQIaDWWvO' 
>>> hashed_passwd.startswith(salt) 
True 

Quindi è possibile vedere che il sale è incluso nell'hash.

È inoltre possibile utilizzare bcrypt.hashpw() per controllare che una password corrisponde una password hash:

>>> passwd_to_check = b'p@ssw0rd' 
>>> matched = bcrypt.hashpw(passwd_to_check, hashed_passwd) == hashed_passwd 
>>> matched 
True 
>>> bcrypt.hashpw(b'thewrongpassword', hashed_passwd) == hashed_passwd 
False 

Non c'è bisogno di conservare il sale separatamente.

---

Così si potrebbe scrivere il setter come questo (Python 3):

@password.setter 
def password(self, passwd): 
    if isinstance(passwd, str): 
     passwd = bytes(passwd, 'utf-8') 
    self.passwd = str(bcrypt.hashpw(passwd, bcrypt.gensalt()), 'utf8') 

E il controllo in questo modo:

def check_password(self, passwd_to_check): 
    if isinstance(passwd_to_check, str): 
     passwd_to_check = bytes(passwd_to_check, 'utf-8') 
    passwd = bytes(self.passwd, 'utf8') 
    return bcrypt.hashpw(passwd_to_check, passwd) == passwd