T-SQL Encriptación vs Hashing/Salting para iniciar sesión en los usuarios del sitio web

Question

Tengo un proyecto y aparentemente los diseñadores del software no tuvieron en cuenta la seguridad.

Las contraseñas se almacenan en texto sin formato y se transmiten a través de texto sin formato. Así que me quedé con la tarea de arreglar esto.

Estoy un poco oxidado en cuanto a la seguridad, entonces mi pregunta es: ¿para la autenticación de contraseña de usuario en línea es mejor usar técnicas de hash/salazón o es mejor usar el cifrado AES? ¿Podría tener los pros y los contras?

¿Sería mejor utilizar de alguna manera el proveedor de membresía de ASP.NET? ¿Esto sería fácil de hacer? Lo he usado antes, pero el software necesita sus propias tablas, así que no estoy seguro de si eso es más problemático.

Si se ha respondido esto podría alguien dirigirme allí, porque no he encontrado una comparación.

Answer 1

NUNCA debe almacenar contraseñas utilizando cifrado simétrico.

Sal al azar para cada usuario, hash su contraseña, almacenar tanto la sal como el hash en la base de datos. Luego, en las solicitudes de inicio de sesión obtienes al usuario por correo electrónico/nombre de usuario/id, etc., luego usa la sal vinculada a ese usuario y hash la contraseña proporcionada y luego compárala con el hash almacenado. Si coincide, inicie sesión, en caso contrario, contraseña incorrecta.

Si usa el proveedor de membresía ASP.NET integrado, debería hacer esto por usted.

Answer 2

Le sugiero que multiplique en hash una contraseña predeterminada. Más de 10 veces o algo. Entonces, ¿por qué? Porque para usted, una contraseña salada no tardará mucho más. Pero para un tipo malvado que intenta diferentes combinaciones para obtener una contraseña bruta, toma 10 veces más de tiempo cada intento. Y no puede estar seguro si lo hizo 10 o 1000 veces.

Utilizo esto personalmente como un aumento de seguridad económico.

Ver aquí: Stackoverflow Salting Your Password: Best Practices?

o hay Secure hash and salt for PHP passwords

Buena suerte :)

Harry

Answer 3

Depende de si desea o no ser capaz de recuperar una contraseña de usuario para alguna operación. Si usa hash/salazón, eso significa que cada vez que un usuario olvida su contraseña, tendrá que hacer que la aplicación genere una nueva contraseña segura. Si usa el cifrado simétrico, al menos le brinda al usuario la posibilidad de recuperar su contraseña existente y cambiarla más adelante según su conveniencia.

No puedo responder si hay o no una mayor seguridad en ambos sentidos. Alguien con más conocimiento que el que tendré que responder es si es más o menos factible descifrar un algoritmo de hash/salazón en lugar de un algoritmo de cifrado simétrico. En la superficie, el hash/salazón parece ser más seguro porque el atacante tiene que descifrar el algoritmo antes de que pueda comenzar a descifrar las contraseñas. Pero lo mismo podría decirse si decidió usar un algoritmo de encriptación simétrico diferente. También podría combinar algoritmos de clave simétrica en caso de que piense que AES no es lo suficientemente seguro por sí mismo.

Answer 4

El uso de la membresía no debería suponer una gran dificultad para hacer todo usted mismo, y es probable que sea más seguro.Simplemente use el nombre de usuario existente del usuario como nombre de usuario de membresía, obligue a los usuarios a restablecer sus contraseñas (corregir el sistema de seguridad requerirá que elimine contraseñas viejas independientemente), y cambie todos los enlaces que verifiquen quién usará el usuario Membership.GetUser() o similar.

Habrá un poco de maldad si admite la capacidad de cambiar los nombres de usuario. Cambiar un nombre de usuario puede introducir un agujero de seguridad si no se hace con cuidado ya que la membresía depende de los nombres de usuario y de los usuarios de maneras que podrían causar agujeros (aunque esto requiere que un usuario no malicioso cambie su propio nombre, por lo que no es un gran vacío).