用于检索/设置密码和其他敏感数据的安全过程

Question

我相信你们中的一些人已经编写了C#类,它们必须从/向数据库设置/获取密码.

我认为敏感的细节不会是纯文本.处理此类数据的推荐程序是什么？一旦检索到文本加密了吗？您是否将pws存储在加密的.xml文件中？

谢谢

Answer 1

• 切勿以纯文本或完全存储密码.您应该使用加密哈希函数(如SHA-2)存储哈希版本的(密码和盐).
• 因此'将密码存储在加密的xml文件中'不是正确的方向 - 这意味着您将在某个时刻解密文件,因此可以访问您的所有用户密码(因此,攻击者可以访问如果您的系统遭到入侵,则向您的所有用户提供密码)通过存储哈希,您将无法获得用户的密码,即使您愿意也是如此.
• 因此,当一个人登录时,您将通过散列该人输入的密码来确认密码是否正确,并将其与您存储的哈希进行比较 - 如果哈希匹配,则密码正确.
• 如果存储的密码哈希列表受到损害,请始终使用随机生成的盐使攻击者无法使用 彩虹表来破解密码.
• 根据应用程序的性质,您应该实施某种密码复杂性规则.