Простая проверка имени пользователя и пароля java

Question

Я пытаюсь создать свою первую страницу входа в качестве учебного упражнения.

Мой план состоял в том, чтобы предварительно использовать пароль, используя соль имени пользователя, например. Храните это в текстовом файле, а затем, когда пользователь будет входить в систему, я буду использовать хэш-пароль с использованием той же соли и сравнить результаты с текстовым файлом.

Я полный новичок с безопасностью и т. Д., Поэтому я не знаю, будет ли это безопасно или нет? Какова норма для небольших приложений? если этот метод не рекомендуется, то какая подходящая простая альтернатива?

EDIT Одно из возможных решений, если я могу заставить его работать.

String unpwfield; 
    unpwfield = userId.getText()+passwordfield.getText(); 
    if (BCrypt.checkpw(unpwfield, passwordhash)) 
     System.out.println("It matches"); 
    else 
     System.out.println(userId.getText()+passwordfield.getText()); 

Answer 1

Для хранения паролей, вы будете хотеть использовать алгоритм хэширования медленно. Криптографические хеши слишком быстрые, и не замедляйте атакующего в автономном режиме. Например, bcrypt часто является наиболее подходящим алгоритмом для использования.

Bcrypt генерирует собственные соли, поэтому вам не нужно беспокоиться о безопасном способе их генерации.

Я бы не использовал имя пользователя в качестве соли. Соль заключается в том, чтобы избежать того же пароля, когда-либо хранящегося с таким же представлением байта, если он используется несколько раз.

Причины, по которым пользователь повторно использует один и тот же пароль, сразу же очевидно, что любой злоумышленник имеет видимость в хэш-данных пароля. Кроме того, если ваша система открыта, каждый экземпляр вашего приложения будет иметь хэши для пользователя admin, сохраненного точно таким же образом, что означает, что злоумышленники смогут предварительно создать таблицы радуги с admin в качестве соли.

Дополнительную информацию и рекомендации см. На сайте OWASP Cheat Sheet on Password Storage.