vb.net - mysql 最新的密码哈希算法/数据加密是什么？

Question

由于我对密码学知之甚少，我试图找到在某些 vb.net winform 应用程序中对用户密码进行哈希处理的最佳方法；然后将其存储在在线mysql数据库中。我发现了很多关于该主题的帖子，但无法找出哪一个是最好的方法。

我到达this MSDN post但仍然不确定是否可以使用它。

我无法在哪里输入一些随 secret 钥，它是由函数自动生成的。

所以我的问题是，这是一个可靠的密码哈希函数吗？还有其他选择吗？

谢谢

代码:

Imports SystemImports System.IOImports System.Security.CryptographyClass AesExample    Public Shared Sub Main()        Try            Dim original As String = "Here is some data to encrypt!"            ' Create a new instance of the Aes            ' class.  This generates a new key and initialization             ' vector (IV).            Using myAes As Aes = Aes.Create()                ' Encrypt the string to an array of bytes.                Dim encrypted As Byte() = EncryptStringToBytes_Aes(original, myAes.Key, myAes.IV)                ' Decrypt the bytes to a string.                Dim roundtrip As String = DecryptStringFromBytes_Aes(encrypted, myAes.Key, myAes.IV)                'Display the original data and the decrypted data.                Console.WriteLine("Original:   {0}", original)                Console.WriteLine("Round Trip: {0}", roundtrip)            End Using        Catch e As Exception            Console.WriteLine("Error: {0}", e.Message)        End Try    End Sub 'Main    Shared Function EncryptStringToBytes_Aes(ByVal plainText As String, ByVal Key() As Byte, ByVal IV() As Byte) As Byte()        ' Check arguments.        If plainText Is Nothing OrElse plainText.Length 

Answer 1

不要加密密码，当攻击者获得数据库时，他也将获得加密 key 。仅使用哈希函数是不够的，仅添加盐对于提高安全性几乎没有作用。使用随机盐迭代 HMAC 约 100 毫秒，然后将盐与哈希一起保存。使用诸如 ehash、PBKDF2、Bcrypt、passlib.hash 等函数或类似函数。重点是让攻击者花费大量时间通过暴力破解来查找密码。

NIST目前推荐PBKDF2用于密码验证器。

参见:

• NIST Recommendation for Password-Based Key Derivation

• NIST 特别出版物 800-63B:( Digital Identity Guidelines)

• Toward Better Password Requirements作者:吉姆·芬顿