加密哈希密码？

Question

加密哈希的密码是否常见？存储在数据库中的强密码（AES192左右）还是我们只是瞄准星星？

当然，加密密钥不会在数据库本身，但会保存在一个安全的地方。

非常感谢！

Answer 1

我不是一个安全专家，我不知道你正在运行什么样的应用，或者什么样的设置，你有。但如果我正在制作一个普通的ol网络应用程序，那么我只需要使用salted hash。

无论如何，您将在应用服务器上存储密钥（或公钥，如果您使用非对称密钥加密，因为您可以加密密码用户提供的哈希并将其与数据库中的值进行比较）。

如果您主要担心有人闯入您的数据库服务器，是否更难进入应用程序服务器？

如果有人通过应用服务器尝试字典攻击，它将采用相同数量的尝试。你只需要检测并阻止它。

加密腌过的哈希值的唯一情况是，如果攻击者可以获取加密值而不是密钥。我想这取决于你是否决定这是你想要的系统。

Answer 2

没有必要加密腌制和散列密码。
当密码被腌制并用一个好的算法进行散列加密时，它不会提高安全性。
加密时，您必须以某种方式管理密钥，这会使事情变得复杂。

对每个密码使用一个加密生成的salt，并使用一个好的散列算法。
欲了解更多信息，请参见该问题：Best way to store password in database

Answer 3

除非您确实需要密码检索，否则密码总是应该散列且不加密。密码检索本身通常不被认为是好的做法。