加密哈希密碼？

Question

加密哈希的密碼是否常見？存儲在數據庫中的強密碼（AES192左右）還是我們只是瞄準星星？

當然，加密密鑰不會在數據庫本身，但會保存在一個安全的地方。

非常感謝！

Answer 1

我不是一個安全專家，我不知道你正在運行什麼樣的應用，或者什麼樣的設置，你有。但如果我正在製作一個普通的ol網絡應用程序，那麼我只需要使用salted hash。

無論如何，您將在應用服務器上存儲密鑰（或公鑰，如果您使用非對稱密鑰加密，因爲您可以加密密碼用戶提供的哈希並將其與數據庫中的值進行比較）。

如果您主要擔心有人闖入您的數據庫服務器，是否更難進入應用程序服務器？

如果有人通過應用服務器嘗試字典攻擊，它將採用相同數量的嘗試。你只需要檢測並阻止它。

加密醃過的哈希值的唯一情況是，如果攻擊者可以獲取加密值而不是密鑰。我想這取決於你是否決定這是你想要的系統。

Answer 2

沒有必要加密醃製和散列密碼。
當密碼被醃製並用一個好的算法進行散列加密時，它不會提高安全性。
加密時，您必須以某種方式管理密鑰，這會使事情變得複雜。

對每個密碼使用一個加密生成的salt，並使用一個好的散列算法。
欲瞭解更多信息，請參見該問題：Best way to store password in database

Answer 3

除非您確實需要密碼檢索，否則密碼總是應該散列且不加密。密碼檢索本身通常不被認爲是好的做法。