c# - 检索/设置密码和其他敏感数据的安全程序

Question

我相信你们中的一些人编写过 C# 类，这些类必须从数据库设置密码/从数据库获取密码。

我假设敏感细节不会以明文形式显示。处理此类数据的推荐程序是什么？检索到的文本是否加密？您是否将 pws 存储在加密的 .xml 文件中？

谢谢

Answer 1

• 切勿以纯文本形式存储密码，或根本不存储密码。您应该使用加密散列函数(如 SHA-2)来存储(密码和盐)的散列版本。
• 所以“将密码存储在加密的 xml 文件中”不是正确的方向 - 这意味着您将在某个时候解密该文件，因此可以访问您所有用户的密码(因此，攻击者如果您的系统受到威胁，将可以访问您的所有用户密码)通过存储哈希，即使您愿意，您也将无法获得用户的密码。
• 因此，当有人登录时，您可以通过散列该人输入的密码来确认密码正确，并将其与您存储的散列进行比较 - 如果散列匹配，则密码正确.
• 始终使用随机生成的 salt使攻击者无法使用 rainbow tables破解密码，以防您存储的密码哈希列表遭到破坏。
• 根据您的应用程序的性质，您应该执行 password complexity某种规则。