Encriptación de contraseña con Spring/Hibernate - Jasypt u otra cosa?

Question

En una pila de aplicaciones Java con Spring & Hibernate (JPA) en la Capa de acceso a datos, cuáles son buenos métodos para aplicar la encriptación de contraseña (con suerte utilizando anotaciones) y dónde obtener más información sobre cómo hacerlo (tutorial, etc.)?

Se entiende que usaría un algoritmo compatible con JCA para encriptar las contraseñas, pero preferiría no tener que implementar la lógica del contenedor si hay una manera fácil.

Estaba mirando a Jasypt, y estaba a) preguntándome si esa es una buena opción y cómo hacerlo yb) qué más está usando la gente para esto. Si alguien está usando Jasypt o una alternativa, los detalles de tu experiencia serían geniales.

Answer 1

Java tiene todas las bibliotecas necesarias ya provistas para usted. Simplemente cree un método de utilidad que implementa hash con una sal como se describe en OWASP.

Si usted realmente no quiere ser dueño de ese código y no le importa una dependencia adicional, parece que la biblioteca Shiro (anteriormente JSecurity) tiene una implementation de lo que está descrito por OWASP.

También parece que la biblioteca JASYPT que ha mencionado tiene un similar utility.

Me doy cuenta de que esta respuesta no menciona a Spring ni a Hibernate, pero no estoy seguro de cómo espera utilizarlas en este escenario.

Answer 2

Solo uso algo similar a SHA-256(username + ":" + password + ":" + salt) y lo almaceno en la base de datos en una columna de 64 caracteres llamada passwd.

Wikipedia dice, en relación con las sales: "Los datos de sal complican los ataques de diccionario que utilizan encriptación previa de entradas de diccionario: cada bit de sal utilizado duplica la cantidad de almacenamiento y cálculo requeridos ... Para mayor seguridad, el valor de sal se mantiene en secreto, separado de la base de datos de contraseñas. Esto proporciona una ventaja cuando se roba una base de datos, pero la sal no lo es ".

Para autenticarse, obtenga el usuario de la base de datos con el nombre de usuario proporcionado, luego genere el mismo hash usando la contraseña proporcionada a través de su intento de inicio de sesión y compárelo con la base de datos. También agregue algún límite de velocidad para intentos de inicio de sesión (por ejemplo, 5 por período de 5 minutos). Si el usuario olvida su contraseña, NUNCA envíeles la contraseña por correo electrónico (ya que no la tendrá almacenada), ni les envíe una nueva contraseña generada por correo electrónico, pero envíeles un enlace para cambiar esa contraseña con una clave de cambio de contraseña/nonce/salt en la URL con la que puede verificar.

Answer 3

MD5 o SHA-256 estarían bien, aunque MD5 es crackable ahora.

Quizás entendí mal el problema, pero debería ser simplemente comparar las contraseñas hash.

En hibernate, solo almacene como una cadena. En el lado de la validación, tenga un método como:

public validate(String user, String pass) 
{ 
    if(getUser(user).getPass().equals(getHash(pass))) 
     return true; 
    return false; 
} 

Answer 4

Puede usar Jasypt with Hibernate para cifrar o modificar sus propiedades sobre la marcha si eso es lo que está buscando. El algoritmo real para calcular compendios (hash) es bastante simple usando la JCE si también quieres hacer tu propia versión.

Answer 5

No parece ser una forma específica de Hibernate hacerlo con Jasypt, pero se puede establecer un encriptador contraseña en primavera:

<!-- 
    Set up string digester here so we can configure it for more pools if it's a problem... 
    --> 
    <bean id="stringDigester" class="org.jasypt.digest.PooledStringDigester"> 
    <!-- same settings as StrongPasswordGenerator --> 
    <property name="poolSize" value="2"/> 
    <property name="algorithm" value="SHA-256"/> 
    <property name="iterations" value="100000"/> 
    <property name="saltGenerator"> 
     <bean class="org.jasypt.salt.RandomSaltGenerator"/> 
    </property> 
    <property name="saltSizeBytes" value="16"/> 
    </bean> 

    <!-- ...and then we only have to deal with the passwordEncryptor interface in code. --> 
    <bean id="passwordEncryptor" class="com.myproject.util.StringPasswordEncryptor"> 
    <property name="stringDigester" ref="stringDigester"/> 
    </bean> 

Después de eso, se llaman context.getBean ("passwordEncryptor ") para obtener el encriptador, y luego llamar a encryptPassword() o checkPassword().

Answer 6

Si está utilizando la primavera en su aplicación, a continuación, también se puede utilizar Spring Security, lo que le proporciona varios codificadores de contraseña, es decir ShaPasswordEncoder Puede encontrarlo en StackOverflow