C'è qualche vantaggio nella crittografia dell'hash della password nel mio database?

0

Sto tagliando e memorizzando il sale: hash della password di ogni utente nel nostro database. Il server Web è ASP.NET e la stringa di connessione al database in web.config viene crittografata utilizzando la crittografia IIS config.

Potrei anche crittografare il sale: hash prima di memorizzarlo. Ma la chiave di crittografia sarebbe anche in web.config, anch'essa crittografata usando la crittografia IIS config.

Questo non mi sembra una protezione aggiuntiva. Se qualcuno ottiene la stringa di connessione non crittografata dal nostro web.config, può ottenere anche la chiave di crittografia.

Mi manca qualcosa o sarebbe un passo in più senza protezione extra?

    
posta David Thielen 30.09.2014 - 19:32
fonte

1 risposta

0

Ci sono momenti in cui un utente malintenzionato potrebbe avere accesso per recuperare dati dal database (ad esempio SQL Injection) ma non ha accesso sufficiente per estrarre la chiave di crittografia dal web.config. In queste situazioni questa pratica aggiungerebbe un altro livello di difesa contro il cracking delle credenziali dell'utente.

Sicuramente non è infallibile poiché un compromesso a livello di server operativo potrebbe consentire all'aggressore di estrarre le chiavi di crittografia insieme al database degli utenti. Un utente malintenzionato potrebbe anche essere in grado di eseguire comandi tramite SQL injection che forniscono accesso ai dati web.config.

Se vale la pena è una sentenza che dovrai fare. Aggiungerà un sovraccarico e una complessità al processo di autenticazione per un leggero miglioramento della sicurezza. Se il tuo database delle credenziali è compromesso, sarai in grado di dire ai tuoi utenti che non ritieni che le loro password siano state esposte - supponendo che tu sappia per certo che la chiave non è stata rubata - ma probabilmente continuerai a chiedere loro di creare nuove password sicure.

Adobe ha crittografato le password dei clienti e, mentre milioni di loro sono trapelate un anno fa, non è ancora stata resa pubblica la chiave di crittografia. Queste credenziali potrebbero comunque essere considerate protette se non fosse per i suggerimenti associati alla password che spesso spiegano in modo esplicito quale sia la probabile password utilizzata.

    
risposta data 30.09.2014 - 19:47
fonte

Leggi altre domande sui tag