c# - 使用 RijndaelManaged 从 ASP.NET 成员身份解密加密密码

Question

底线是创建一个 custom FTP Authentication Provider .为此，必须继承 IFtpAuthenticationProvider 接口(interface)，然后在 GAC 中注册该程序集。之后需要在 IIS 的 FTP 设置中注册程序集。

为了实现这一点，我必须使用数据库，该数据库将我的用户信息保存在我们之前开发的自定义成员资格和角色提供程序的数据库中。所以，这意味着我必须使用本地类库 app.config 文件并使用 ConfigurationManager.OpenMappedExeConfiguration() 读取它。我从那里读取连接字符串，我什至能够 provide it to Linq-To-Sql classes dynamically .没问题。

接下来，我尝试 create a class that inherits from SqlMembershipProvider这样我就可以使用它自己的系统来解密用户的密码。但是，问题是它必须从配置中读取 machineKey 值。您可以为 SqlMembershipProvider 提供自定义配置的唯一方法是通过它的 Initialize 方法(无论如何我们都不打算在代码中使用它)。但无论如何我尝试过但失败了。我已经能够为其提供自定义成员资格设置，但不能为其提供 machineKey 设置。

所以，我决定激进一些。我说:我有来自 machineKey 的 decryptionKey，所以我会尝试手动解密密码。

到目前为止，我已尝试使用 RijndaelManaged:

    private string UnEncodePassword(string encodedPassword, string secretKey)
    {
        string password = encodedPassword;

        var keyBytes = new byte[16];
        var secretKeyBytes = Encoding.UTF8.GetBytes(secretKey);
        Array.Copy(secretKeyBytes, keyBytes, Math.Min(keyBytes.Length, secretKeyBytes.Length));

        RijndaelManaged rm = new RijndaelManaged
        {
            Mode = CipherMode.CBC,
            Padding = PaddingMode.PKCS7,
            KeySize = 128,
            BlockSize = 128,
            Key = keyBytes,
            IV = keyBytes
        };

        var encryptedBytes = Convert.FromBase64String(encodedPassword);
        password = Encoding.UTF8.GetString(Decrypt(encryptedBytes, rm));

        return password;
    }

我有点意识到我在这里拍摄空白，因为我不确定使用了哪种填充，最重要的是，即使我可以，我也没有击中正确的 IV。到目前为止，我所做的最好的事情就是得到一些垃圾响应，例如:�21l�<��(��\t��).

所以我需要一些指点。欢迎就如何从另一个角度解决整个问题提出建议。

编辑:

只是为了让事情更清楚一点。我不是想破解密码或任何东西。我有密码和解密 key 等。我只是想找到一种方法来加密/解密它，以便我可以进行用户验证。
我完全意识到加密/解密密码首先并不是最好的方法，但这样做是有原因的。

Answer 1

您不应该解密密码。您应该比较密码哈希值。

密码不应以可逆加密方式存储。密码应该存储为哈希值(不是 MD5，它太弱了)。

关于你上面的评论，你不需要解密密码来比较它们。您想要比较哈希值，而不是原始值。系统应该无法获取密码的原始文本。使用内置的 ASP.NET 成员身份提供程序可以正确地将密码存储为哈希值。这可能就是您无法解密它们的原因，它们注定无法解密。

编辑:关于您对 SQL 成员提供程序使用 passwordFormat="Encrypted" 的事实。有了这个事实，您可以使用相同的填充、密码模式和 IV(您需要从 SQL 数据库查询)以相同的格式加密密码，然后只比较加密后的密码值。这可能是不必要的工作。您真的只想使用用户名/密码组合在代码中调用成员(member)的登录功能并验证它是否成功。您将需要确保机器 key 和相关部分在两个系统中匹配，否则您将无法成功。

您确实想计划转移到散列密码，但是，存储加密密码而不是散列密码几乎毫无意义。它只比以纯文本形式存储它们稍微好一点。