密码存储模式和身份验证声音？

Question

我们正在实施一个新的电子商务平台，我们希望确保不犯安全部门可以避免的错误。

这一次，我看了一下密码存储和散列。我们目前所做的：

我们从 0-36 和 125-255 范围内生成 8 到 16 个随机字节，将其用作密码中的盐，然后对其进行 SHA512 100k 次。然后我们将密码和盐存储在用户帐户中。

解决方案在 C# 中。有什么要添加的盐输入的随机化？还是我们错过了一些重要的事情？

Answer 1

请不要自己发明 - 有经过验证的标准方法可以做到这一点（包括多次散列等），例如参见 http://en.wikipedia.org/wiki/PBKDF2 和 http://msdn.microsoft.com/en-us/library/system.security.cryptography.rfc2898derivebytes.aspx