cómo usar contraseñas hash para recuperar claves del almacén de claves o acceder a la base de datos

Question

cómo usar contraseñas hash para recuperar claves del almacén de claves o acceder a la base de datos

#1 de AJ Henderson (1 votos)

1

¿Cómo hago un hash de la contraseña para un almacén de claves? ¿Cómo uso el hash para recuperar algo del almacén de claves? Del mismo modo, ¿cómo uso una contraseña con hash para acceder a la base de datos?

He cifrado la contraseña y la he almacenado en un almacén de claves y entiendo que no es un buen diseño y que la mejor solución es almacenar la contraseña de forma aleatoria y luego usarla.

¿No está seguro de que sea útil después de que se haya generado un hash, es decir, cómo comparar y permitir el acceso autenticado?

passwords password-management password-policy appsec passphrase

pregunta bliss 28.04.2014 - 14:32

fuente

1 respuesta

Lea otras preguntas en las etiquetas passwords password-management password-policy appsec passphrase

¿Es posible bloquear usuarios específicos que se conectan a Internet detrás de la misma puerta de enlace con NAT? ¿Es posible usar parámetros DH personalizados para IKEv1 / IKEv2 / IPSEC?

score 1 · Answer 1

No lo haces. Todo el objetivo del hash es hacer que el original sea difícil (ojalá sea muy difícil) o imposible de recuperar. El hash se utiliza para almacenar credenciales que serán verificadas por un servidor. El servidor obtiene la contraseña en texto sin formato (a través de una conexión encriptada) y luego la codifica para ver si coincide con la contraseña que tiene registrada para el usuario, de esta manera, si el servidor está comprometido, toda la base de datos de contraseñas es no está disponible de inmediato para el atacante.

Las cosas como contraseñas de DB y contraseñas para acceder a otros servicios tendrían que almacenarse encriptadas, pero sin daños. Alternativamente, y preferiblemente, se podría solicitar a los servicios un token de autorización (como la forma en que funciona oAuth o muchas otras API) que permitiría el acceso de un cliente en particular para esa cuenta, pero no permitir el acceso general a la cuenta.