T-SQL एईएस एन्क्रिप्शन हैशिंग बनाम/वेबसाइट

Question

करने के लिए उपयोगकर्ताओं में लॉग इन करने के लिए नमकीन मैं एक परियोजना और जाहिरा तौर पर सॉफ्टवेयर के डिजाइनरों को ध्यान में सुरक्षा डाल नहीं किया है।

पासवर्ड सादा पाठ में संग्रहीत और सादा पाठ के माध्यम से प्रेषित कर रहे हैं। इसलिए मुझे इसे ठीक करने के लिए कार्य के साथ छोड़ दिया गया है।

मैं सुरक्षा पर थोड़ा जंग लगी हूँ, तो मेरे सवाल यह है: ऑनलाइन उपयोगकर्ता पासवर्ड प्रमाणीकरण के लिए यह/हैशिंग उपयोग करने के लिए नमक मिलाना तकनीक बेहतर है या यह एईएस एन्क्रिप्शन का उपयोग करने के लिए बेहतर है? क्या मेरे पास पेशेवर और विपक्ष हो सकता है।

बेहतर होगा किसी भी तरह ASP.NET सदस्यता प्रदाता का उपयोग करने के लिए? क्या यह करना आसान होगा? मैंने पहले इसका उपयोग किया है, लेकिन सॉफ़्टवेयर इसकी अपनी टेबल पर कॉल करता है, इसलिए मुझे यकीन नहीं है कि यह और अधिक परेशानी है या नहीं।

यदि इसका उत्तर दिया गया है तो कोई मुझे वहां निर्देशित कर सकता है, क्योंकि मुझे तुलना नहीं मिली।

Answer 1

आपको सममित एन्क्रिप्शन का उपयोग करके कभी भी पासवर्ड स्टोर नहीं करना चाहिए।

प्रत्येक उपयोगकर्ता के लिए यादृच्छिक नमक, उनके पासवर्ड हैश, डेटाबेस में नमक और हैश दोनों को स्टोर करें। फिर लॉगिन अनुरोधों पर आप उपयोगकर्ता को ईमेल/उपयोगकर्ता नाम/आईडी आदि से प्राप्त करते हैं, फिर उस उपयोगकर्ता से बंधे नमक का उपयोग करें और हैश को उनके आपूर्ति किए गए पासवर्ड का उपयोग करें और फिर संग्रहीत हैश के खिलाफ इसका मिलान करें। यदि मैचों, लॉगिन, और बुरा पासवर्ड है।

यदि आप एएसपी.NET सदस्यता प्रदाता में निर्मित का उपयोग करते हैं तो इसे आपके लिए करना चाहिए।

Answer 2

मैं सुझाव है कि आप हैश एक नमकीन पासवर्ड multipe करने के लिए। 10 गुना से अधिक या कुछ। तो क्यों? क्योंकि आपके लिए नमकीन पासवर्ड हैशिंग करने के लिए पहचानने योग्य समय नहीं लगेगा। लेकिन एक दुष्ट व्यक्ति के लिए पासवर्ड को ब्रूटफोक्रे करने के लिए विभिन्न संयोजनों की कोशिश करने के लिए, प्रत्येक प्रयास में 10 गुना अधिक समय लगता है। और वह यह सुनिश्चित नहीं कर सकता कि आपने इसे 10 या 1000 बार किया है।

मैं इस व्यक्तिगत रूप से उपयोग करने के एक सस्ते सुरक्षा वृद्धि के रूप में।

यहाँ देखें: Stackoverflow Salting Your Password: Best Practices?

या वहाँ Secure hash and salt for PHP passwords

गुड लक :)

हैरी

Answer 3

यह है या नहीं, आप एक उपयोगकर्ता पासवर्ड ठीक करने के लिए सक्षम होना चाहते हैं पर निर्भर करता है कुछ ऑपरेशन के लिए। यदि आप हैशिंग/लवण के साथ जाते हैं, तो इसका मतलब है कि जब भी कोई उपयोगकर्ता अपना पासवर्ड भूल जाता है, तो आपको एप्लिकेशन को एक नया, सुरक्षित पासवर्ड जेनरेट करना होगा। यदि आप सममित एन्क्रिप्शन के साथ जाते हैं, तो आप कम से कम उपयोगकर्ता को अपना मौजूदा पासवर्ड पुनर्प्राप्त करने और बाद में अपनी सुविधा पर बदलने का मौका देते हैं।

मैं उत्तर नहीं दे सकता है या नहीं, वहाँ सुरक्षा किसी भी तरह से वृद्धि हुई है। किसी से अधिक ज्ञान वाले किसी को मुझे जवाब देना होगा कि एक सममित एन्क्रिप्शन एल्गोरिदम के विपरीत हैशिंग/नमक एल्गोरिदम को क्रैक करने के लिए कम या ज्यादा संभव है या नहीं। सतह पर, हैशिंग/लवण अधिक सुरक्षित प्रतीत होता है क्योंकि हमलावर को पासवर्ड क्रैक करना शुरू करने से पहले एल्गोरिदम को समझना पड़ता है। लेकिन यह भी कहा जा सकता है कि क्या आपने एक अलग सममित एन्क्रिप्शन एल्गोरिदम का उपयोग करने का निर्णय लिया है। यदि आप सोचते हैं कि एईएस बस अपने आप पर्याप्त सुरक्षित नहीं है तो आप सममित कुंजी एल्गोरिदम भी जोड़ सकते हैं।

Answer 4

सदस्यता का उपयोग करके पूरी चीज को स्वयं करने में इतनी कठिनाई नहीं जोड़नी चाहिए, और यह अधिक सुरक्षित होने की संभावना है।बस उपयोगकर्ता के मौजूदा उपयोगकर्ता नाम को सदस्यता उपयोगकर्ता नाम के रूप में उपयोग करें, उपयोगकर्ताओं को अपने पासवर्ड रीसेट करने के लिए मजबूर करें (सुरक्षा प्रणाली को ठीक करने के लिए आपको पुराने पासवर्ड को स्क्रैप करने की आवश्यकता होगी), और अपने सभी हुक को बदलें जो उपयोगकर्ता को Membership.GetUser() या इसी तरह का उपयोग करने के लिए उपयोग करते हैं।

यदि आप उपयोगकर्ता नाम बदलने की क्षमता का समर्थन करते हैं तो वहां थोड़ी सी नास्तिकता होगी। उपयोगकर्ता नाम बदलने से सावधानीपूर्वक नहीं किया जा सकता है क्योंकि सदस्यता सावधानी से उपयोगकर्ता नामों और उपयोगकर्ता आईडी पर निर्भर करती है (हालांकि इसके लिए एक गैर-दुर्भावनापूर्ण उपयोगकर्ता को अपना नाम बदलने की आवश्यकता है, इसलिए यह एक बड़ा छेद नहीं है)।