在會話中存儲OTP是否安全？

Question

我正在編寫一個Web應用程序，用戶需要輸入一次性引腳（OTP）的某些操作 - 類似於大多數銀行網站。

所以我基本上需要生成一個隨機字符串，將它存儲在某個地方，將它發送給用戶，然後根據我存儲的那個驗證輸入的引腳。

將此生成的字符串存儲在ASP會話對象中是否安全？

Answer 1

會話是客戶端無法訪問的服務器端集合（而不是cookie/viewstate）。它應該從客戶端操作中解脫出來。

不過，我認爲你應該將這些OTP存儲在數據庫中，並與這些OTP進行比較。

Answer 2

請注意，任何內存中的會話數據都不可轉移到Web場中的其他Web服務器，因此如果此站點需要擴展，那麼您可能希望將OTP關閉到Web服務器。當然，除非你使用粘性會話。

Answer 3

不要存儲PIN碼。散列它（SHA算法之一，最好用一些鹽）並存儲散列。然後將用戶輸入的哈希與您存儲的哈希進行比較。然後，如果你的存儲（不管是在會話對象，某個數據庫還是其他任何地方）受到攻擊，攻擊者就不會知道PIN是什麼。