ترحيل مخططات تشفير كلمة المرور

Question

وأنا ربما الاستيلاء على التطبيق الذي يشفر حرفيا فقط كلمات مرور المستخدم عن طريق القيام MD5 (كلمة السر)

ولديهم ~ 2000 للمستخدمين حتى الآن. كيف يمكنني الهجرة تلك كلمات السر لمخطط تشفير أقوى (التي تشمل على سبيل المثال من الملح، التجزئة الخاصة بالمستخدم، وكلمة المرور الخاصة بهم، وكلها مشفرة مع SHA1، bcrypt، أيا كان)؟

Answer 1

وMD5 هو التشفير دالة البعثرة ، وليس بالضرورة طريقة للتشفير. تم تصميم التجزئة التي يتعين القيام بها إلا في اتجاه واحد، ولا يمكن عكس بخلاف القاموس الهجوم. وكمثال على ذلك، يمكنك تجربة هذه بحث قاعدة بيانات التجزئة إذا كنت تشعر عوب.

وأنت تريد على الأرجح لحفظ هذه كلمات السر القديمة في عمود منفصل، ثم عند دخول المستخدمين إلى نظام "الجديد"، مقارنة الإصدار MD5'ed من أن كلمة المرور مع واحدة من العمر، وإذا يطابق هضم، نفذ SHA1 مع الملح على أن كلمة السر وتخزينها أنه في عمود منفصل.

وبدلا من ذلك، وربما نهجا أفضل، هو قوة للمستخدمين بتغيير كلمات السر ... وعند دخولهم واحد جديد، واستخدام خوارزمية تجزئة جديدة عليه بدلا من ذلك.