传输和存储数据的安全方式

Question

我正在编写一个客户端服务器应用程序。客户端和服务器之间的通信使用 Java RMI。我已经设置 RMI 以便它使用SSLSockets，所以通信是安全的。但是现在我希望我的客户输入密码，密码需要发送到服务器并以安全的方式存储在那里。

• 问题一：这个密码发送的时候需要加密吗，还是SSLSockets的使用就够了？

• 问题 2：我正在考虑在服务器上使用哈希函数（如 SHA1）对其进行加密，然后将其与存储的值进行比较。

• 问题 3：如何以安全的方式存储这些密码？我想将它们存储在本地。我应该创建一个数据库并存储加密的密码吗？这方面的常见做法是什么？

Answer 1

问题 1：

这取决于安全要求。大多数情况下就足够了。

问题 2：

在这里你可以找到一种计算SHA1字符串的方法：Java String to SHA1

问题 3：

在数据库的某个特定表中存储密码是一种很常见的做法。我建议使用散列密码和所谓的salt，所以协议是：

• 用户正在注册或更改密码并向您发送他/她的密码。
• 我们生成一些 looooooooong 随机字符串，我们将其用作盐。
• 现在，我们需要计算数据库中的值。

假设您有执行哈希计算的sha1() 方法：

String salt = generateLongRandomString();
String hashToStore = sha1(sha1(password) + salt);

• 现在，我们需要在数据库中为每个用户存储至少三个字段：username 或类似的东西，也许是email； hashToStore; salt;

好的，下一步是身份验证。

• 用户想要进行身份验证并将其密码发送给您。
• 您检索存储的该用户的哈希和盐，通过用户名或电子邮件进行搜索；
• 您使用我上面写的公式重新计算哈希，并将其与存储的值进行比较。如果匹配，则该用户是真实的，您可以告知他/她。