Каков современный метод сохранения паролей пользователей в веб-приложениях? Я работаю с Java 6 + MySQL. Вот некоторые из вопросов, которые я имею в виду: что лучше: кодировать в приложении или с помощью СУБД (актуально ли это вообще)? Какой алгоритм считается надежным? Что хранить в базе данных? На самом деле новичок в этом материале, поэтому, возможно, пропустил некоторые важные детали, и в этом случае, пожалуйста, не стесняйтесь сообщить мне.
Спасибо.
Вам следует хранить в базе данных надежно хешированные и соленые версии паролей. Так что, если ваш сайт будет взломан, поскольку пользователи используют один и тот же проход почти везде, их другие учетные записи не будут скомпрометированы.
Для этого необходимо сделать следующее:
Неважно, где вы хешируете пароли (приложение или БД), но БД имеют ограниченную функциональность безопасного хеширования, поэтому приложение - лучший выбор.
bcrypt).
- person Andrew Moore; 16.03.2011
bcrypt по указанным выше причинам.
- person Andrew Moore; 16.03.2011
sha). Использование каждого пароля по отдельности не увеличивает ваши затраты, не снижает производительности приложений, не увеличивает сложность для пользователей ... Таким образом, это повышает вашу безопасность без каких-либо компромиссов.
- person Andrew Moore; 17.03.2011
bcrypt - надежный алгоритм хеширования паролей. Он был создан профессионалами в области безопасности с учетом требований безопасности.
bcrypt работает медленно (это хорошо, потому создание радужных таблиц становится очень дорогостоящим). Вы можете настроить bcrypt с переменным количеством раундов для масштабирования с любым оборудованием, которое вы используете (больше раундов = медленнее). Кроме того, он автоматически обрабатывает генерацию соли, другую соль для каждого хэша (что делает атаку радужной таблицы практически невозможной из-за медленного характера bcrypt и того факта, что для каждого пароля потребуется полная радужная таблица).
Реализация bcrypt для Java доступна по адресу jBCrypt.
Вы столкнетесь с гневом многих самопровозглашенных гуру безопасности за то, что задаете подобный вопрос. Я сам не специалист по безопасности, но чувствую себя достаточно квалифицированным, чтобы выдвигать некоторые предложения, руководствуясь здравым смыслом. В зависимости от того, насколько безопасным вы хотите, чтобы ваше приложение было, существуют различные методологии.
1- Большинство атак происходит, когда вы передаете учетные данные по проводам. (Человек посередине). Поэтому вам нужно убедиться, что передача имени пользователя и пароля должна быть безопасной. (SSL или HTTP-дайджест). Если безопасность очень важна, вам следует изучить, нужно ли вообще передавать имя пользователя / пароль. (с использованием аутентификации на основе токенов, например Oauth, вместо имени пользователя и пароля)
2- В случае, если вы решите передать имя пользователя и пароль, вам необходимо сократить время жизни строки пароля в области вашего приложения. Конечно, лучший метод - реализовать фильтр аутентификации на основе такого механизма, как LDAP. Большинство хранилищ LDAP позволит вам хранить зашифрованный пароль и позволит вам выполнять аутентификацию путем привязки. (Так что ваше приложение никогда не будет беспокоиться об аутентификации и хранении)
3- В случае, если вы принесете свой пароль на уровень своего приложения, конечно, вам все равно нужно сократить время жизни вашего пароля в виде открытого текста и зашифровать его с помощью некоторого безопасного алгоритма хеширования. Но такой подход и хранение пароля в вашей базе данных (даже в зашифрованном виде) не так уж и безопасны. (особенно, если вы храните пароль, кто-то может обойти ваш уровень безопасности)
Итак, чтобы резюмировать, исходя из необходимого вам уровня безопасности, вам нужно задать себе следующий вопрос.
1- Нужно ли вам отправлять имя пользователя / пароль?
2- Можете ли вы убедиться, что пароль нельзя перехватить по сети?
3- Можете ли вы делегировать свою аутентификацию на передний фильтр, а не на уровень вашего приложения?
