Quel est le moyen le plus facile pour crypter un mot de passe quand je l'enregistrer dans la base de registre?

Vous n'avez pas à déchiffrer l'authentification des mots de passe!

De hachage utilisant quelque chose comme le SHA256 fournisseur et quand vous avez de défi, de hachage à l'entrée de l'utilisateur et de voir si les deux hachages de match.

byte[] data = System.Text.Encoding.ASCII.GetBytes(inputString);
data = new System.Security.Cryptography.SHA256Managed().ComputeHash(data);
String hash = System.Text.Encoding.ASCII.GetString(data);

Laissant les mots de passe réversible est un vraiment horrible modèle.

Edit2: j'ai pensé que nous devions parler de la ligne de front de l'authentification. Bien sûr il ya des cas où vous souhaitez crypter les mots de passe pour d'autres choses qui doivent être réversible, mais il devrait y avoir un 1-way de verrouillage sur le dessus de tout (à quelques exceptions près).

J'ai mis à jour l'algorithme de hachage mais pour la meilleure résistance possible, vous voulez garder un privé, le sel et l'ajouter à votre entrée avant hachage. Vous voulez faire cela à nouveau lorsque vous comparez des. Cela ajoute une autre couche qui rend encore plus difficile pour quelqu'un de s'inverser.

Tom Scott a raison dans sa couverture de comment (ne pas) pour stocker les mots de passe, sur Computerphile.

https://www.youtube.com/watch?v=8ZtInClXe1Q

1. Si vous le pouvez à tout l'éviter, ne pas essayer de stocker les mots de passe vous-même. Utiliser un pré-établi, digne de confiance de l'utilisateur plate-forme d'authentification (par exemple: OAuth fournisseurs, vous de la société domaine Active Directory, etc.) au lieu de cela.

2. Si vous devez stocker des mots de passe, ne pas suivre les conseils ici. Au moins, pas sans la consultation la plus récente et de bonne réputation publications applicables à la langue de votre choix.

Il y a certainement beaucoup de gens intelligents ici, et probablement même quelques bons conseils donnés. Mais les chances sont fortes pour que, au moment où vous lisez ceci, toutes les réponses ici (y compris celui-ci) sera déjà obsolète.

La bonne façon de stocker les mots de passe des changements au fil du temps.

Probablement plus fréquemment que certaines personnes changent leurs sous-vêtements.

Tout ce que dit, voici quelques conseils généraux qui, nous l'espérons être utile pour un certain temps.

1. Ne pas crypter les mots de passe. Aucune méthode de stockage qui permet la récupération des données stockées est par nature précaire pour la conservation des mots de passe, de toutes formes de chiffrement inclus.

2. Processus les mots de passe exactement comme saisi par l'utilisateur au cours du processus de création. Tout ce que vous faites pour le mot de passe avant de l'envoyer à la cryptographie module sera probablement juste de l'affaiblir. L'une des méthodes suivantes aussi ajoute à la complexité du stockage de mot de passe & processus de vérification, ce qui pourrait causer d'autres problèmes (peut-être même d'introduire des vulnérabilités) en bas de la route.

   • Ne vous convertissez pas de majuscules/minuscules.
   • Ne pas supprimer l'espace.
   • Ne coupons pas inacceptable caractères ou chaînes de caractères.
   • De ne pas changer le codage du texte.
   • Ne pas le faire n'importe quel caractère ou chaîne de substitutions.
   • Ne pas tronquer les mots de passe de n'importe quelle longueur.

3. Rejeter la création de tous les mots de passe ne peuvent pas être stockés sans modification. Renforcement de la ci-dessus. Si il y a quelque raison que votre mot de passe mécanisme de stockage ne peut pas traiter correctement certains caractères, des espaces, des chaînes, ou des longueurs de mot de passe, puis retourne une erreur et permettre à l'utilisateur de connaître les limites du système de sorte qu'ils peuvent réessayer avec un mot de passe qui s'adapte à l'intérieur d'eux. Pour une meilleure expérience utilisateur, faites une liste de ces limitations accessible à l'utilisateur initial. Ne vous inquiétez pas, le laisser seul la peine de cacher la liste d'attaquants - ils le comprendre assez facilement sur leur propre de toute façon.

4. Utiliser un long, aléatoire et unique sel pour chaque compte. Pas de deux mots de passe des comptes devrait jamais le même aspect dans le stockage, même si les mots de passe sont identiques.
5. Utilisation lent et les algorithmes de hachage cryptographiques qui sont conçus pour une utilisation avec des mots de passe. MD5 est certainement sortir. SHA-1/SHA-2 sont des no-go. Mais je ne vais pas vous dire ce que vous devrait utiliser ici. (Voir la première #2 de balle dans ce post.)
6. Itérer autant que vous pouvez tolérer. Alors que votre système peut avoir de meilleures choses à faire avec son processeur cycles de hachage des mots de passe de tous les jours, les gens qui agiteront vos mots de passe ont des systèmes qui ne fonctionnent pas. Le rendre aussi dur sur eux que vous pouvez, sans la rendre "trop dur" sur vous.

Le plus important...

Ne vous contentez pas d'écouter n'importe qui ici.

Aller chercher une bonne réputation et très récente publication sur les méthodes appropriées de stockage de mot de passe pour la langue de votre choix. En fait, vous devriez trouver plusieurs publications récentes à partir de plusieurs sources distinctes qui sont en accord avant de vous installer sur une seule méthode.

Il est extrêmement possible que tout ce que tout le monde ici (moi y compris) a dit a déjà été remplacée par de meilleures technologies ou rendue précaire par nouvellement développé des méthodes d'attaque. De trouver quelque chose qui est plus probablement que non.

Une option serait de stocker la valeur de hachage (SHA-1, MD5) du mot de passe à la place du mot de passe en clair, et à chaque fois que vous voulez voir si le mot de passe est bon, il suffit de le comparer à celui de hachage.

Si vous avez besoin de stockage sécurisé (par exemple pour un mot de passe que vous utilisez pour vous connecter à un service), alors le problème est plus compliqué.

Si c'est juste pour l'authentification, alors il suffit d'utiliser la table de hachage.

Comme ligget78 dit, DPAPI serait une bonne solution pour le stockage des mots de passe. Découvrez la ProtectedData classe sur MSDN par exemple l'utilisation.

J'ai regardé partout pour un bon exemple de chiffrement et de déchiffrement des processus, mais la plupart étaient trop complexes.

De toute façon, il y a de nombreuses raisons quelqu'un peut vouloir décrypter certaines valeurs de texte, y compris les mots de passe. La raison pour laquelle je besoin pour déchiffrer le mot de passe sur le site, je travaille actuellement est parce qu'ils veulent assurez-vous que lorsque quelqu'un est forcé de changer leur mot de passe lorsqu'il expire que nous ne les laissons pas la changer avec une variante proche de le même mot de passe qu'ils ont utilisé dans les x derniers mois.

J'ai donc écrit un processus qui va le faire d'une manière simplifiée. J'espère que ce code est bénéfique à quelqu'un. Pour tous je sais que je peut mettre fin à l'aide de cette autre fois pour une autre entreprise/site.

public string GenerateAPassKey(string passphrase)
{
//Pass Phrase can be any string
string passPhrase = passphrase;
//Salt Value can be any string(for simplicity use the same value as used for the pass phrase)
string saltValue = passphrase;
//Hash Algorithm can be "SHA1 or MD5"
string hashAlgorithm = "SHA1";
//Password Iterations can be any number
int passwordIterations = 2;
//Key Size can be 128,192 or 256
int keySize = 256;
//Convert Salt passphrase string to a Byte Array
byte[] saltValueBytes = Encoding.ASCII.GetBytes(saltValue);
//Using System.Security.Cryptography.PasswordDeriveBytes to create the Key
PasswordDeriveBytes pdb = new PasswordDeriveBytes(passPhrase, saltValueBytes, hashAlgorithm, passwordIterations);
//When creating a Key Byte array from the base64 string the Key must have 32 dimensions.
byte[] Key = pdb.GetBytes(keySize / 11);
String KeyString = Convert.ToBase64String(Key);
return KeyString;
}
//Save the keystring some place like your database and use it to decrypt and encrypt
//any text string or text file etc. Make sure you dont lose it though.
private static string Encrypt(string plainStr, string KeyString)        
{            
RijndaelManaged aesEncryption = new RijndaelManaged();
aesEncryption.KeySize = 256;
aesEncryption.BlockSize = 128;
aesEncryption.Mode = CipherMode.ECB;
aesEncryption.Padding = PaddingMode.ISO10126;
byte[] KeyInBytes = Encoding.UTF8.GetBytes(KeyString);
aesEncryption.Key = KeyInBytes;
byte[] plainText = ASCIIEncoding.UTF8.GetBytes(plainStr);
ICryptoTransform crypto = aesEncryption.CreateEncryptor();
byte[] cipherText = crypto.TransformFinalBlock(plainText, 0, plainText.Length);
return Convert.ToBase64String(cipherText);
}
private static string Decrypt(string encryptedText, string KeyString) 
{
RijndaelManaged aesEncryption = new RijndaelManaged(); 
aesEncryption.KeySize = 256;
aesEncryption.BlockSize = 128; 
aesEncryption.Mode = CipherMode.ECB;
aesEncryption.Padding = PaddingMode.ISO10126;
byte[] KeyInBytes = Encoding.UTF8.GetBytes(KeyString);
aesEncryption.Key = KeyInBytes;
ICryptoTransform decrypto = aesEncryption.CreateDecryptor(); 
byte[] encryptedBytes = Convert.FromBase64CharArray(encryptedText.ToCharArray(), 0, encryptedText.Length); 
return ASCIIEncoding.UTF8.GetString(decrypto.TransformFinalBlock(encryptedBytes, 0, encryptedBytes.Length)); 
}
String KeyString = GenerateAPassKey("PassKey");
String EncryptedPassword = Encrypt("25Characterlengthpassword!", KeyString);
String DecryptedPassword = Decrypt(EncryptedPassword, KeyString);

..NET fournit cryptographics services dans les classes contenues dans le
Système.De sécurité.La cryptographie espace de noms.