Non memorizzare le password nel database? [chiuso]

-2

Dove potrebbe tenerli a parte un database? Memorizzando le password altrove intendo un database non tradizionale.
Permettimi di spiegare. Un paio di miei amici gestiscono siti Web ad alta sicurezza. Avevano bisogno di qualcuno per pentestare il loro sito web e vedere se qualcuno potesse rubare le password. Quindi, naturalmente, mi hanno chiesto se lo avrei fatto. Sono stato in grado di accedere al server e al database, ma non ho password né indirizzi email. Tutte le informazioni dell'utente erano inesistenti. Ho chiesto loro come l'hanno fatto, ma non me l'hanno detto. Non hanno utilizzato token di autenticazione o password una tantum.

Quali altri metodi sono i loro per memorizzare le password in modo che anche se un hacker compromette il server sarebbe estremamente difficile per lui ottenere informazioni sugli utenti, nemmeno una password con hash?

EDIT: Non sto chiedendo come usare la password hash, sto chiedendo quali alternative esistono per memorizzare una password in un database non tradizionale.

EDIT # 2: l'articolo è stato rimosso a causa di critiche

    
posta Snewman8771 24.07.2015 - 02:29
fonte

2 risposte

3

Come afferma l'articolo collegato, devi hash la password, e poi memorizzarla nel database. bcrypt è l'attuale raccomandazione standard in termini di hashing delle password e ha implementazioni facilmente utilizzabili in molte lingue.

L'intento di "non memorizzare mai le password nel database" non è "memorizzarlo al di fuori del database"; l'intento è " non archiviare mai password in chiaro, ".

    
risposta data 24.07.2015 - 02:39
fonte
0

In effetti il titolo dell'articolo a cui ti sei collegato è fuorviante / confuso. Memorizzare le password in testo semplice è una cosa molto brutta da fare, sì; ma archiviarli con hash in un DB non è un problema perché, per principio, le funzioni di hashing sono un processo one way .

È meglio gestire le password dimenticate come fanno i siti di StackExchange perché:

  • Le password con hash sono inutili anche quando la tabella DB che li memorizza è compromessa
  • Costringe gli utenti a cambiare la loro password: quale è una buona pratica di sicurezza.
risposta data 24.07.2015 - 08:34
fonte

Leggi altre domande sui tag