PBKDF2鹽醃和散列

Question

我想學習使用哈希和鹽漬保存數據庫密碼的密碼學，所以我決定做一個登錄系統嘗試實現這個系統。

我的數據庫由

• 用戶ID INT PK
• 用戶名VARCHAR（250）
• 鹽VARBINARY（64）
• 密碼VARBINARY（64）
的
• RegDate 日期時間
• 電子郵件爲varchar（250）

我使用PBKDF2，但似乎這不是一個散列/鹽析法，它是什麼，如果它是不？

如果是的話我是這麼做的嗎？

我的鑰匙

private const int SALT_SIZE = 64; 
private const int KEY_SIZE = 64; 

插入數據到數據庫

public static void RegisterMe(string _username, string _password, string _email) 
     { 
      using (var cn = new SqlConnection(User.strcon)) 
      { 
       string _sqlins = @" 
        INSERT INTO 
        [User] 
         ([Username],[Salt],[Password],[RegDate], [Email]) 
        VALUES 
         (@Username, @Salt, @Password, CURRENT_TIMESTAMP, @Email)"; 

       var cmd = new SqlCommand(_sqlins, cn); 
       cn.Open(); 
       using (var deriveBytes = new Rfc2898DeriveBytes(_password, SALT_SIZE)) 
       { 
        byte[] salt = deriveBytes.Salt; 
        byte[] key = deriveBytes.GetBytes(KEY_SIZE); 

        // save salt and key to database 
        cmd.Parameters.AddWithValue("@Username", _username); 
        cmd.Parameters.AddWithValue("@Password", key); 
        cmd.Parameters.AddWithValue("@Salt", salt); 
        cmd.Parameters.AddWithValue("@Email", _email); 
       } 
       cmd.ExecuteNonQuery(); 
      } 
     } 

檢查，如果用戶是有效

public bool IsValid(string _email, string _password) 
    { 

     using (var cn = new SqlConnection(strcon)) 
     { 
      byte[] salt = { }, key = { }; 
      string _sql = @" 
          SELECT 
           SALT, 
           [Password], 
           UserID 
          FROM 
           [User] 
          WHERE [Email] = @email"; 

      SqlCommand cmd = new SqlCommand(_sql, cn); 
      cmd.Parameters.AddWithValue("@email", _email); 

      cn.Open(); 
      SqlDataReader reader = cmd.ExecuteReader(); 
      if (reader.Read()) 
      { 
       salt = reader.GetSqlBytes(0).Value; 
       key = reader.GetSqlBytes(1).Value; 

       reader.Dispose(); 
       cmd.Dispose(); 
       using (var deriveBytes = new Rfc2898DeriveBytes(_password, salt)) 
       { 
        byte[] newKey = deriveBytes.GetBytes(KEY_SIZE); // derive a 20-byte key 
        return newKey.SequenceEqual(key); 
       } 
      } 
      else 
      { 
       reader.Dispose(); 
       cmd.Dispose(); 
       return false; 
      } 
     } 
    } 

我的系統工作正常，它以字節爲單位將數據設置到數據庫中，如果用戶輸入正確的密碼，則返回true。但這是正確的方式嗎？這是甚至哈希/醃製？

Answer 1

你基本上要在正確的方向，但我會指出一些事情要考慮：

1. 的PBKDF2方法的迭代的默認數量可能不夠，你可能不想把事情留給默認。我會建議指定一個至少10K的迭代計數。

2. 在另一方面，密鑰大小和鹽大小是通過在字節此實現計數。 64字節有點太多了。保持兩個16字節每個應該是充足的。不建議超過20個字節，因爲它是底層散列函數/ HMAC的最大大小。這樣做只會給攻擊者帶來好處（根據很多人的看法，這是PBKDF2的一個設計錯誤）。您當然可以將varbinary的大小設置爲更高的值以允許將來的升級。

3. 我們建議您保留協議號與鹽散列密碼。這樣做可以讓您在以後的日期和每次登錄時升級計劃，以便用戶可以重置他/她的密碼。

4. 小點;當產生鹽時，MSDN不指定。我會檢查鹽的隨機性（檢查它是否每次都不相同），並且在調用getBytes後詢問鹽以確保鹽確實是隨機的，即使實施方式發生變化。否則使用密碼安全的隨機數生成器自己生成它。