security - 使用 AES 存储密码

Question

所以我需要能够真正解密密码，因为一些旧网站不使用 OAuth，我需要让我的一些用户可以通过那里的 API 访问它们。因此，一种哈希方法对我不起作用。有人告诉我，最好的方法是使用 AES 存储密码并使用密码的加盐哈希作为 key 。我如何存储所有 key 以及我在哪里存储盐？基本上我将如何实现这一点。

谢谢

Answer 1

如果我对您的理解正确，您会遇到以下情况。用户使用用户名和密码登录到您的系统。然后，您的系统需要通过使用用户提供给您的系统的用户名和密码登录到您无法控制的另一个系统来模拟这些用户。

如果这是正确的，那么使用 AES 加密其他网站的凭据可能是合理的。在这种情况下，我不会存储用于加密这些凭据的 key 。用户用于访问您的系统的密码应该用作 key ，并且不应将其存储在任何地方。通过这种方式，您就有机会保护您的用户隐私(当然，这取决于系统其余部分的设计)。

由于您是加密而不是散列，并且每个用户的加密 key 都不同，因此不需要加盐。

另外，我会加密完整的凭据，而不仅仅是密码。您的用户一开始就向您提供凭据，这表明他们非常信任您，因此我会尽一切可能证明这种信任!