ASP.NET 成员资格提供程序/密码泄漏

Question

给定一个使用默认 ASP.NET Membership Provider 的站点，并且成员(member)密码格式配置为使用散列，并且散列算法是 SHA1(默认；LinkedIn 使用的相同)并且假设成员(member)数据库被破坏，是否有任何额外的可以采取哪些措施来进一步减少对上述数据的利用？

通过快速查看成员资格模式，密码似乎使用了盐键。这个措施够不够？

Answer 1

简而言之 :用于存储密码，您永远不应该使用 MD5、SHA1、SHA256、SHA512、SHA-3 等... bcrypt 是存储密码的唯一安全方式。

以下是上述肯定的原因:

因为我的问题不久前

Is this the way to salt and store a Password in Db?

我开始使用 BCrypt作为我的密码散列代码，从我一直阅读的内容来看，即使您掌握了用户表，也很难从中获取存储密码的纯文本。

我在 Custom Membership Provider 中使用它所以我可以托管自己的密码。

来自博客文章:

Why BCrypt? Most popular password storage schemes are based on fast hashing algorithms such as MD5 and SHA-1. BCrypt is a computationally expensive adaptive hashing scheme which utilizes the Blowfish block cipher. It is ideally suited for password storage, as its slow initialization time severely limits the effectiveness of brute force password cracking attempts. How much overhead it adds is configurable (that's the adaptive part), so the computational resources required to test a password candidate can grow along with advancements in hardware capabilities.

从 codahale.com 您还可以阅读 How to safely store a password 还有……

顺便说一句， BCrypt project is on Codeplex