密碼恢復與sha1密碼散列

Question

我想爲我的網站實現一個忘記密碼功能。我使用sha1對密碼進行哈希處理。我將如何恢復這個用戶？

實施這個的最佳方法是什麼？

Answer 1

簡短的回答，你不能。

您要執行密碼重置函數，而不是密碼檢索函數。散列密碼的重點在於您無法存儲用戶的密碼，如果丟失，則無法恢復。

This應該給你如何讓用戶重置忘記的密碼一個粗略的想法：

Answer 2

最好的方法是不要嘗試恢復原始密碼。如果用戶丟失密碼，則生成一個新的隨機密碼，並使用帶外方法將其發送給他們（例如電子郵件）。請記住，密碼散列的整個目的是防止恢復。

我知道，我知道，電子郵件是不安全的。但是，如果您要求用戶立即更改生成的密碼，那麼風險將得到緩解。順便說一句，我不能推薦足夠的，你也可以提供密碼並迭代散列，以防止攻擊者獲得散列值時發生暴力攻擊。

Answer 3

NO

有一個恢復SHA1哈希它沒有已知的有效方法是原文（因爲它是通過設計一個單向函數）。如果您希望稍後能夠向用戶顯示其密碼，您將以將其存儲在可逆的方法（IE加密，明文）中。這仍然可能是一個壞主意，試圖找到一個better way of doing it。