Strategia per l'aggiornamento delle password memorizzate verso un hash più sicuro? [duplicare]

Question

Strategia per l'aggiornamento delle password memorizzate verso un hash più sicuro? [duplicare]

#1 da (6 voti)
#2 da (4 voti)
#3 da (1 voti)

2

So che non possiamo aggiornare le nostre password con hash senza avere la password in chiaro per re-hash. Quando un utente effettua l'accesso con login / password, abbiamo il testo in chiaro, in modo da darci l'opportunità di un hash più sicuro e di memorizzare la password del membro.

Qualcuno ha esperienza nel chiedere ai tuoi membri di "per favore, vieni al nostro sito e accedi con la tua vera password" senza causare panico di massa? Qualsiasi modo in cui io possa pensare di trasmettere la richiesta sembra che abbiamo avuto una violazione dei dati. Stiamo semplicemente cercando modi per migliorare la nostra sicurezza, e Ashley Madison chiarisce che le password con hash sono un punto da considerare attentamente.

authentication passwords password-policy hash databases

posta Edward Barnard 15.09.2015 - 20:31

fonte

3 risposte

4

Dì alla tua base utente che stai aggiornando la tua sicurezza e di conseguenza avrai bisogno che cambino le loro password. Oppure puoi consentire che vengano migrati per un determinato periodo di tempo in quanto le password degli utenti scadono se stai utilizzando criteri validi per le password.

risposta data 15.09.2015 - 20:34

fonte

1

Poiché hai modificato la tua politica di memorizzazione delle password, puoi inviare una notifica agli utenti per aggiornare la loro password, ma dovrai avere un modo per mantenere le vecchie password per coloro che non vogliono cambiare.

lasciatemi fare un esempio per chiarire: Diciamo che attualmente sto salvando un semplice hash delle password degli utenti e sto per aggiungere un salt casuale e uso anche pbkdf2 con 1000 round, salverò le password in questo modo: [Il numero di password di round è hash]: [salt]: [hash password]

la password dei vecchi utenti sarà simile a questa:

0 :: oldhash

e per i nuovi utenti Ill salva un hash e un numero di round pbkdf2 usati, quindi in questo modo avrò un modo compatibile con le versioni precedenti per gestire le password degli utenti.

btw, la nuova password sarà simile a questa:

1000: random salt: hash

risposta data 15.09.2015 - 20:44

fonte

Leggi altre domande sui tag authentication passwords password-policy hash databases

In che modo le botnet consegnano lo spam? [chiuso] OFF Tasca o spegni il telefono?

score 6 · Accepted Answer

Non vedo una ragione per cui dovrebbe essere problematico prendere gli hash esistenti, prenderli come input per una funzione hash più sicura e migrare tutti gli utenti esistenti contemporaneamente. Un'ampia discussione sull'approccio può essere trovata qui . Dovrai conservare sia i vecchi che i nuovi sali, naturalmente.

In combinazione con una buona politica sulle password (obbliga gli utenti a cambiare password dopo un periodo ragionevole), puoi gradualmente eliminare le password "legacy".