比较密码/敏感字段的标准方法[关闭]

Question

我有一个场景，我必须匹配密码/敏感信息并检查验证。 现在我可以想出两种方法。

1) 我们可以通过从以加密形式存储在那里的数据库中获取正确的密码来比较加密形式的密码/敏感字段。

2) 或者我们可以先将密码解密为纯文本格式，然后进行比较。现在在这种情况下，需要额外调用解密实用程序，这是一种开销。

我查看了 String 类的“equals()”方法，它在摊销的常数时间内运行。因此，如果加密字符串是非常长的字符串，那么它将影响“equals()”方法的性能。 但在我的情况下，加密字符串并没有那么长。

但我主要关心的是通常遵循的标准是什么。 更新 1：

public static String encrypt(String text, String algo, byte[] bytes)     throws NoSuchPaddingException, NoSuchAlgorithmException,
            IllegalBlockSizeException, BadPaddingException,     InvalidKeyException {
        if (text == null || algo == null || bytes == null) {
            //log properly
            System.out.println("Please provide a valid text, algo or key bytes");
            return null;
        }
       Key key = generateKey(bytes, algo);
        Cipher c = Cipher.getInstance(algo);
         c.init(Cipher.ENCRYPT_MODE, key);
        byte[] envValue = c.doFinal(text.getBytes());
        String encVal2 = new BASE64Encoder().encode(envValue);
        return encVal2;
    }`

更新 2：

 while (i < 300000) {
            String value = KeyValidator.getSystemLicKey(KEY_);
            if (!value.equals(value1))
                System.out.println("--- : false");
            value1 = value;
            i++;
        }

Answer 1

不要加密密码。使用随机盐在 HMAC 上迭代大约 100 毫秒（盐需要与哈希一起保存）。使用 password_hash、PBKDF2、Bcrypt 等函数和类似函数。关键是让攻击者花费大量时间通过蛮力寻找密码。

请参阅 OWASP（开放式 Web 应用程序安全项目）Password Storage Cheat Sheet。

请参阅 Security Stackexchange 上的 How to securely hash passwords, The Theory。

要查看哈希密码是如何受到攻击的，请参阅：
密码列表SecLists.
信息安全password-cracking-tools
ArstechnicaHow I became a password cracker.

Answer 2

永远不要加密你的密码总是散列它！！！ 参考：https://www.owasp.org/index.php/Cryptographic_Storage_Cheat_Sheet（规则 - 存储密码的单向和加盐值）

让 shiro 使用盐和哈希

检查How to stock and use a shiro's salt from database 在数据库中存储盐和密码。

Answer 3

如果您使用的是哈希算法（例如 SHA1、SHA256 等），您需要对输入运行相同的算法并比较结果。

如果您使用加密算法（例如 AES），通常您必须先解密。 请注意，在加密某些东西时，一个好的算法会使用一些盐，这意味着在对同一字符串应用相同的算法时，您会得到不同的结果，因此解密是您唯一的选择。

密码通常以散列方式存储，因为您不需要知道真正的密码，而其他敏感数据（例如信用卡号）则以加密方式存储。

最后一点：散列算法和加密算法都提供字节数组，而不是字符串。所以你应该存储和比较字节数组而不是字符串。如果您需要存储/比较字符串，您可以使用某种编码算法对结果进行编码，例如BASE64。

更新： OWASP 有一个很好的Cheat Sheet 关于密码存储。

更新 2： 关于加密，使用 Apache Shiro 的小例子。运行一下，你会发现没有两行是一样的。

    Key key = new AesCipherService().generateNewKey(128);
    AesCipherService cipher = new AesCipherService();
    for (int i = 0; i <20; ++i) {
        System.out.println(Hex.encode(cipher.encrypt("abcde".getBytes(StandardCharsets.UTF_8), key.getEncoded()).getBytes()));
    }