Crittografia AES T-SQL vs Hashing/Salting per l'accesso degli utenti al sito web

Question

Ho un progetto e apparentemente i progettisti del software non hanno messo in sicurezza la sicurezza.

Le password vengono memorizzate in testo normale e trasmesse in testo normale. Quindi mi rimane il compito di sistemarlo.

Sono un po 'arrugginito sulla sicurezza, quindi la mia domanda è: per l'autenticazione della password utente online è meglio usare le tecniche di hashing/salting o è meglio usare la crittografia AES? Potrei avere i pro e i contro.

Sarebbe meglio utilizzare in qualche modo il provider di appartenenze ASP.NET? Sarebbe facile da fare? L'ho usato prima, ma il software chiama le sue tabelle, quindi non sono sicuro che ci siano più problemi lì.

Se questo è stato risolto, qualcuno potrebbe indirizzarmi lì, perché non ho trovato un confronto.

Answer 1

Non si deve MAI memorizzare le password utilizzando la crittografia simmetrica.

Sale casuale per ogni utente, ha cancellato la password, memorizza sia il sale che l'hash nel database. Quindi, durante le richieste di accesso si ottiene l'utente tramite e-mail/nome utente/id ecc., Quindi utilizzare il sale associato a tale utente e cancellarne la password fornita e quindi confrontarlo con l'hash memorizzato. Se partite, accedi, altrimenti password errata.

Se si utilizza il provider di appartenenze ASP.NET integrato, è necessario farlo per conto dell'utente.

Answer 2

Ti suggerisco di multipe hash una password salata. Più di 10 volte o qualcosa. Allora perché? Perché per te hashing una password salata non prenderà riconoscibilmente più a lungo. Ma per un uomo malvagio che cerca combinazioni diverse di brutefocre una password, ci vuole 10 volte di più ogni volta. E non può essere sicuro se lo hai fatto 10 o 1000 volte.

Io uso questo personalmente come un aumento di sicurezza economico.

vedere qui: Stackoverflow Salting Your Password: Best Practices?

o ci Secure hash and salt for PHP passwords

Buona fortuna :)

Harry

Answer 3

Dipende se si desidera o meno essere in grado di recuperare una password utente per qualche operazione. Se vai con hashing/salting, significa che ogni volta che un utente dimentica la propria password, dovrai fare in modo che l'applicazione generi una nuova password sicura. Se si utilizza la crittografia simmetrica, si offre almeno all'utente la possibilità di ripristinare la password esistente e di modificarla in seguito a loro piacimento.

Non riesco a rispondere se c'è una maggiore sicurezza in entrambi i casi. Qualcuno con una conoscenza maggiore di quella che dovrò rispondere indipendentemente dal fatto che sia più o meno fattibile per decifrare un algoritmo di hashing/salting in contrasto con un algoritmo di crittografia simmetrica. In superficie, l'hashing/salatura sembra essere più sicuro perché l'hacker deve capire l'algoritmo prima che possa iniziare a scansionare le password. Ma lo stesso si potrebbe dire se si decidesse di utilizzare un algoritmo di crittografia simmetrico diverso. Potresti anche combinare algoritmi a chiave simmetrica nel caso in cui pensi che AES non sia abbastanza sicuro da solo.

Answer 4

L'utilizzo dell'appartenenza non dovrebbe aggiungere tanta difficoltà a fare tutto da solo, ed è probabile che sia più sicuro.Usa semplicemente il nome utente esistente come nome utente di appartenenza, costringi gli utenti a reimpostare le loro password (la risoluzione del sistema di sicurezza richiederà di eliminare le vecchie password indipendentemente) e cambia tutti i tuoi hook che controllano chi deve usare Membership.GetUser() o simile.

Ci sarà un po 'di cattiveria se si supporta la possibilità di cambiare i nomi utente. La modifica di un nome utente può introdurre un buco di sicurezza se non viene eseguita attentamente poiché l'appartenenza si basa su nomi utente e useridi in modi che potrebbero causare buchi (sebbene ciò richieda a un utente non malintenzionato di cambiare il proprio nome, quindi non è un buco enorme).