¿Usarías una o dos tablas para nombre de usuario y contraseña?

Question

¿Es más seguro crear una tabla que contenga información del usuario y otra para sus contraseñas que usar la misma tabla para todo?

Answer 1

No Me acaba de hacer esto:

ID, nombre de usuario, contraseña.

Donde id es solo autoincrement, el nombre de usuario es un varchar de 20 (más o menos, dependiendo de sus necesidades) y la contraseña es una contraseña hash MD5 o SHA1 con un salt.

Usar dos tablas para esto simplemente no tiene sentido. Entonces necesitas trabajar con combinaciones para obtener los datos. Y eso es solo una carga innecesaria.

Answer 2

No, no es más seguro. Solo asegúrate de que tus contraseñas tengan Salted + Hashed antes de almacenarlas en la base de datos.

Answer 3

No, no puedo ver cómo eso puede hacerlo más seguro.

En realidad, debe abstenerse de almacenar contraseñas en absoluto. Solo almacena su hash salado.

Más información:

• Stack Overflow: Preferred Method of Storing Passwords In Database

Answer 4

No. No a menos que cada mesa requiere una cuenta de usuario diferente para acceder a ella - lo que haría que la consulta es un dolor completa - y aún así, el hacker ha resuelto un inicio de sesión, por lo que es probable que puedan obtener el otro.

Solo asegúrese de almacenar contraseñas en forma de hash, utilizando un hash seguro como SHA-2 y una sal. No los guarde en texto plano y (en mi humilde opinión) no los almacene encriptados.

Answer 5

No estoy de acuerdo con otras personas: coloque la información de autenticación en una tabla separada y en la medida de lo posible extraiga completamente la autenticación de su aplicación. No deberías preocuparte. Piense en SiteMinder y similares: su aplicación web no tiene ninguna información sobre cómo se autentica el usuario. Contraseña, tarjeta inteligente, etc. (Lo mismo con Kerberos o Active Directory en aplicaciones de escritorio).

Este enfoque incluso funciona si utiliza un marco como Spring Security. Simplemente configure su interceptor para que vea solo las tablas de autenticación. Incluso podría usar DataSources separados para que su interceptor no pueda ver los datos de la aplicación o viceversa.

Obviamente, su aplicación aún necesitará administrar información sobre las autorizaciones del usuario, algo que generalmente se maneja en una tabla de "roles". Pero no es necesario que sepa cómo se autenticó al usuario.

Answer 6

Por cierto, ya existe una biblioteca de clases de hash C# salada bastante simple (y potente) (también han incluido una pequeña demostración de cómo usar la biblioteca) por ahí - Link.

También proporciona un mecanismo de verificación (para que pueda verificar la entrada del usuario como una contraseña válida) y se puede elegir el algoritmo hash a sí mismo (SHA1/MD5/etc.)

Answer 7

No hay ningún beneficio de seguridad, pero el uso de varias tablas puede ser útil para almacenar credenciales en múltiples sistemas vinculados a un único inicio de sesión.

Como se mencionó anteriormente, la seguridad debe proporcionarse con hash salado para las contraseñas.