成员资格提供程序 EncodePassword 方法 .NET 4.0答案

【问题标题】：Membership Provider EncodePassword Method .NET 4.0成员资格提供程序 EncodePassword 方法 .NET 4.0
【发布时间】：2011-06-25 10:21:02
【问题描述】：

我正在编写自己的自定义成员资格提供程序，但我正在使用成员资格提供程序自己的 EncodePassword 方法，如下所示：

internal string EncodePassword(string pass, int passwordFormat, string salt)

{
if (passwordFormat == 0) // MembershipPasswordFormat.Clear
    return pass;

byte[] bIn = Encoding.Unicode.GetBytes(pass);
byte[] bSalt = Convert.FromBase64String(salt);
byte[] bAll = new byte[bSalt.Length + bIn.Length];
byte[] bRet = null;

Buffer.BlockCopy(bSalt, 0, bAll, 0, bSalt.Length);
Buffer.BlockCopy(bIn, 0, bAll, bSalt.Length, bIn.Length);
if (passwordFormat == 1)
{ // MembershipPasswordFormat.Hashed
    HashAlgorithm s = HashAlgorithm.Create( Membership.HashAlgorithmType );
    bRet = s.ComputeHash(bAll);
} else
{
    bRet = EncryptPassword( bAll );
}

return Convert.ToBase64String(bRet);
}

经过几个小时的搜寻，我现在知道在 .NET 4 中使用的算法是 HMACSHA256。我知道我需要一个密钥才能使算法正常工作。

我的问题是它是怎么做到的？

我是否将密钥放在配置文件中并以某种方式引用它？

任何帮助将不胜感激！

谢谢。

【问题讨论】：

标签： algorithm .net-4.0 membership-provider sha256

【解决方案1】：

不要使用 SHA!。去下载 BCrypt.Net。 SHA 在散列方面太快了，这使得任何加密的东西都很容易被暴力破解。由于可配置的工作因素，BCrypt 速度较慢，因此虽然用户无法察觉，但当尝试每秒暴力破解 700m 个密钥时，您根本无法做到。

一旦你有了 bcrypt，你需要做的就是散列：

private static readonly int BCRYPT_WORK_FACTOR = 10;
string hashedPassword = BCrypt.Net.BCrypt.HashPassword(account.HashedPassword, BCRYPT_WORK_FACTOR);

并检查密码：

bool matched = BCrypt.Net.BCrypt.Verify(password, match.HashedPassword))

我在http://www.danharman.net/2011/06/25/encrypting-hashing-passwords-for-your-website/这里写得更深入了

【讨论】：