¿No almacena contraseñas en la base de datos? [cerrado]

-2

¿Dónde podría alguien guardarlos además de una base de datos? Al almacenar contraseñas en otro lugar me refiero a una base de datos no tradicional.
Déjame explicarte. Un par de mis amigos tienen sitios web de alta seguridad. Necesitaban a alguien para hacer su sitio web y ver si alguien podía robar contraseñas. Así que naturalmente me preguntaron si lo haría. Pude obtener acceso al servidor y la base de datos, pero no contraseñas o incluso direcciones de correo electrónico. Toda la información del usuario no existía. Les pregunté cómo lo hicieron, pero no me lo dijeron. No utilizaron tokens de autenticación o contraseñas de un solo uso.

¿Qué otros métodos utilizan para almacenar las contraseñas de modo que incluso si un pirata informático compromete el servidor sería extremadamente difícil para él obtener información del usuario, ni siquiera una contraseña con hash?

EDITAR: no estoy preguntando cómo hash de contraseña, estoy preguntando qué alternativas existen para almacenar una contraseña en una base de datos no tradicional.

EDIT # 2: artículo fue eliminado debido a las críticas

    
pregunta Snewman8771 24.07.2015 - 02:29
fuente

2 respuestas

3

Como indica el artículo vinculado, debe hash la contraseña y luego guardarla en la base de datos. bcrypt es la recomendación estándar actual en términos de hashing de contraseñas y tiene implementaciones fáciles de usar en muchos idiomas.

La intención detrás de "nunca almacenar contraseñas en la base de datos" no es "almacenarla fuera de la base de datos"; la intención es " nunca almacenar contraseñas de texto sin formato, en absoluto ".

    
respondido por el Ethan Kaminski 24.07.2015 - 02:39
fuente
0

De hecho, el título del artículo que has vinculado es engañoso / confuso. Almacenar contraseñas en texto plano es algo muy malo, sí; pero almacenarlos en un DB no es un problema porque, en principio, las funciones de hashing son un proceso de una manera .

Es mejor tratar con contraseñas olvidadas como lo hacen los sitios web de StackExchange porque:

  • Las contraseñas de hash son inútiles incluso cuando la tabla de la base de datos que las almacena está comprometida
  • obliga a los usuarios a cambiar su contraseña: lo que es una buena práctica de seguridad.
respondido por el user45139 24.07.2015 - 08:34
fuente

Lea otras preguntas en las etiquetas