Memorizzazione password Hash in chiaro

George ha una buona risposta con alcune ottime informazioni su questo, comunque una cosa a cui devi pensare tutto questo è la tua esperienza utente e attacco al teatro. Se è sul telefono di qualcuno, chi sarebbe quello a ottenere quei dati?

• Locale: una persona con accesso fisico a quel dispositivo. Con l'accesso fisico al dispositivo possono aspettare di vedere la memoria per qualsiasi tipo di crittografia da caricare in memoria e tirare l'hash in quel modo. In tal caso hanno l'hash. Questo è uno dei problemi con l'accesso fisico al dispositivo.

• exploit dati remoto: se tutto ciò che hanno è una copia del file che contiene l'hash (possibilmente attraverso un dump di DB), purché sia crittografato bene sopra hash ci vorrà molto tempo prima che possano decifrare l'hash e iniziare a provare a rimuovere la password da quell'hash.

Ci dovrebbero essere diversi modi per farlo. Scegli quello che si adatta meglio agli scenari di attacco di cui sei preoccupato e buona fortuna a tenerlo (il segreto di crittografia e l'hash) sicuro.

Supporrò che tu stia usando un hash di password strong (lento) come BCrypt con un fattore di lavoro sufficientemente alto. Se si utilizza un hash generale (veloce), il vantaggio di sicurezza è molto ridotto.

Nella maggior parte dei casi l'Hash dovrebbe essere tenuto segreto.

• Potrebbe esserci una vulnerabilità scoperta qualche volta in futuro.
• L'hash è un moltiplicatore della forza della password. Se la password è debole, l'hash risultante sarà facilmente crackato subito dopo il furto del valore hash.

Tuttavia, se hai Requisiti di sicurezza password sufficientemente ben orchestrati , ci sono alcuni casi in cui ha senso memorizzare una password localmente.

Ad esempio, il Chromebook di Google utilizza questa tecnica, consentendo a un utente di utilizzare la stessa password per sbloccare un Chromebook come account Google online.

Tuttavia, sarebbe più sicuro utilizzare una password separata per questo scopo. In questo modo, se la password del dispositivo mobile viene compromessa, l'account online è ancora sicuro e viceversa.

Per i Chromebook, Google deve aver deciso che il rapporto sicurezza-prezzo è accettabile per il suo pubblico.

Se decidi di archiviare l'hash su un dispositivo mobile Android, devi andare avanti e iniziare una nuova domanda per assicurarti di memorizzarla nella posizione più sicura disponibile. Android ha più posizioni di archiviazione possibili e impostazioni di sicurezza delle app disponibili.

E, soprattutto, salva il minor numero possibile di hash sul dispositivo mobile. Preferibilmente, devi memorizzare l'unico hash che corrisponde alla password del proprietario del dispositivo.