存储TOTP的密钥

Question

我正在设置我的网站(C#/ SQL 2008)以允许使用Google身份验证器进行双因素身份验证.我有网站工作,从获取QR码到生成上一个/当前/下一个键(我很高兴接受3,以防时钟不同步).

显然,我们需要为每个用户生成一个密钥,否则每个用户都会拥有相同的一次性密码.

我的问题是存储此密钥的最佳做法是什么？我可以将它作为纯文本存储在users表中,还是应该加密？

Answer 1

为什么不是varchar？据我所知，谷歌的二维码是一个字母数字字符串（你可以手写，以防你懒得安装二维码扫描仪）

在我的个人大学项目中，我生成了一个 128 个字符长的字母数字字符串，并将其发送到我的自定义 TOTP 应用程序，我的数据库将此信息存储为 VARCHAR(128) ，

我认为最佳实践答案取决于密钥有多大以及密钥空间是如何定义的，而不是 62 个字母数字，为什么不使用整个 ascii 表？你需要将你的密钥存储为 varbyte 对吗？