Использование GetHashCode для «защищенных» паролей пользователей

Question

Компания, в которой я работаю, взяла на себя контракт на поддержку системы обработки больших заказов. В рамках первоначального системного аудита я заметил, что пароли, хранящиеся в базе данных, на самом деле являются хэш-кодом пароля.

По существу:

string pwd = "some pasword"; 
string securePwd = pwd.GetHashCode(); 

Мой вопрос, как безопасный или иначе это?

Мне это не удобно, но я не знаю, как работает GetHashCode. Я бы предпочел использовать что-то вроде хэша MD5, но если я трачу свое время, я не буду беспокоиться.

Answer 1

GetHashCode возвращает 32-битное целое число как значение хэша. Учитывая birthday paradox, это не слишком длинное значение хэша из-за относительно высокой вероятности столкновений, даже если оно явно сконструировано так, чтобы оно было устойчивым к столкновению, а это не так.

Вы должны пойти на SHA256 или другую криптографически защищенную функцию хэша, предназначенную для обработки такой задачи.

Для хранения паролей недостаточно просто использовать хэш-функцию. Вы должны добавить некоторую случайную «соль» для каждого пользователя и повторить достаточно много раз, чтобы вычислить дорогостоящую грубую силу. Поэтому вы должны использовать что-то вроде bcrypt, scrypt, PBKDF2, с большим количеством итераций.

Answer 2

Вы должны использовать засоленный криптографически сильный хеш, такой как SHA256Managed.

Джефф Этвуд имеет несколько хороших постов на эту тему:

Rainbow Hash Cracking

You're Probably Storing Passwords Incorrectly

Answer 3

Это не только небезопасно, но и могут быть изменены:

http://netrsc.blogspot.com/2008/08/gethashcode-differs-on-systems.html

значение, возвращенное GetHashValue для данного ввода, изменилось в прошлом.

Нет гарантии, что это будет одинаково между различными исполнениями приложения.

Answer 4

GetHashCode определенно не предназначен для использования таким образом, поскольку реализация не гарантирует разные хэш-результаты для разных объектов. Это означает, что потенциально несколько паролей могут создавать один и тот же хеш. Также не гарантируется возврат одного и того же значения хэша в разные версии платформы .NET, что означает, что обновление потенциально может привести к другому хэшу для одной и той же строки, что сделает ваши пароли непригодными для вас.

Рекомендуется использовать соленый хеш или даже MD5 при нажатии. Вы можете легко переключить его на что-то в пространстве имен Security.Cryptography.

Answer 5

Как уже говорилось, GetHashCode не предназначен для того, что вы пытаетесь сделать. Есть действительно excellent article on how to handle user passwords securely.

Чтобы подвести итог статьи, вам необходимо использовать либо относительно медленную адаптивную схему хэширования, такую ​​как bcrypt, или, альтернативно, Stanford Secure Remote Password Protocol. Я бы предложил первый.И, конечно же, вы также должны использовать соль.

Answer 6

Вместо этого я рекомендую использовать BCrypt. Как уже говорили другие, использование GetHashCode для паролей - не очень хорошая идея.