Сравнение паролей, кодированных хешем

Question

Я храню свой password в столбце таблицы базы данных с кодом string. Перед хранением в базе данных я делаю это Hash encoded используя C# метод ниже:

public static string Md5Encrypted(string password) 
     { 
      byte[] pass = Encoding.UTF8.GetBytes(password); 
      MD5 md5 = new MD5CryptoServiceProvider(); 
      string strPassword = Encoding.UTF8.GetString(md5.ComputeHash(pass)); 
      return strPassword; 
     } 

Теперь я хочу compare него, вставляя новый пароль.

Для этого я беру запись конкретного пользователя из базы данных и получая его существующий закодированный пароль в строке. Если я использую тот же пароль, то он также не подходит. Например, если я прохожу adgjl135 в качестве пароля, он кодируется как Pb�ZsÈU��}��, но из базы данных я получаю Pb?ZsÈU??}??, но очевидно, что они не совпадут. Тогда как мне их сравнить? Есть идеи??

Answer 1

Не делайте этого:

Encoding.UTF8.GetString(md5.ComputeHash(pass)) 

Результатом вычисления хэша является не UTF-8 кодировкой текста. Это двоичные данные. Когда вы пытаетесь интерпретировать его так, как если бы это была строка с кодировкой UTF-8, вы теряете данные - следовательно, проблема.

Таким образом, либо храните его как двоичные данные, либо преобразуйте его в шестнадцатеричный или base64, оба из которых могут использоваться для представления произвольных двоичных данных без потерь.

(В качестве важного в сторону, вы должны не просто использовать MD5 хэш пароля. - особенно не без соли Но это отдельный разговор, один вы должны определенно обратить внимание на, и один, где я не компетентен говорить авторитетно.)

Answer 2

Как вы, вероятно, заметили, �, который обычно используется для выражения «недопустимого символа» в UTF-8, заменяется обычным «?», в вашей базе данных. Поэтому вы можете сравнить то, что осталось от паролей, если вы считаете эти два символа равными.