在 T-SQL 上解密 AES 128

Question

我有一个当前使用 AES 128 的数据库。该数据库大约有 800 万条记录，客户想要的是解码密码并对其进行哈希处理，这样密码就无法被解密。这是一个网络应用程序，数据存储在远程服务器上。我尝试使用网络应用程序进行转换，但它总是超时。由于这是 800 万条，需要一段时间才能浏览完所有项目，因此我的下一个想法是让 SQL 进行解密和哈希处理。我可以让它运行接下来的几天。

我遇到的问题是每一列都有带有唯一盐的加密密码。我找不到使用加密密码和盐解密密码的函数。有功能吗？还第三方？有更好的方法来解决这个问题吗？

谢谢！

Answer 1

在 SQL Server 中执行此操作的最简单/唯一方法是使用 C# 编写 CLR 用户定义函数 (UDF)。请参阅

• SQL Server 2005：通过 10 个简单步骤创建您的第一个 C# CLR UDF（其中一个包括 Partying）
• SQLCLR - 创建 CLR 用户定义函数 ( UDF ) - 检查 EmailAddress 列上的约束使用正则表达式
• MSDN：CLR 用户定义函数 (ADO.NET)< /a>

了解更多详细信息。如果是我，我会添加一个新列来包含新密码哈希，并定期运行更新语句来构造新密码哈希，如下所示：

update top 10000 dbo.users
set hashedPassword = DecryptAndHash( encryptedPassword )
where hashedPassword is null

其中 DecryptAndHash() 是您的 CLR UDF 。转换完成后，您应该可以自由删除旧列并推出更新以使用新的身份验证逻辑。

可能想在表上放置一个触发器，以保持哈希值与加密密码同步，以防有人在这一切发生时更改密码。

FWIW，代码不应该比

using System;
using Microsoft.SqlServer.Server;

namespace Sandbox
{
    public static class EncryptionFunctions
    {

        /// <summary>
        /// Encrypts a string
        /// </summary>
        /// <param name="plainText"></param>
        /// <returns>varbinary</returns>
        [SqlFunction]
        public static byte[] Encrypt( string plainText )
        {
            byte[] cipherText ;
            using ( EncryptionEngine cipher = EncryptionEngine.GetInstance() )
            {
                cipherText = cipher.Encrypt( plainText ) ;
            }
            return cipherText ;
        }

        /// <summary>
        /// Decrypts a previously encrypted varbinary
        /// </summary>
        /// <param name="cipherText"></param>
        /// <returns>string</returns>
        [SqlFunction]
        public static string Decrypt( byte[] cipherText )
        {
            string plainText ;
            using ( EncryptionEngine cipher = EncryptionEngine.GetInstance() )
            {
                plainText = cipher.Decrypt( cipherText ) ;
            }
            return plainText ;
        }

        /// <summary>
        /// Compute the secure hash of a [plaintext] string
        /// </summary>
        /// <param name="plainText"></param>
        /// <returns> varbinary </returns>
        [SqlFunction]
        public static byte[] SecureHash( string plainText )
        {
            byte[] hash ;
            using ( EncryptionEngine cipher = EncryptionEngine.GetInstance() )
            {
                hash = cipher.ComputeSecureHash( plainText ) ;
            }
            return hash ;
        }

        /// <summary>
        /// Convenience wrapper method to take a previously encrypted string, decrypt it and compute its secure hash
        /// </summary>
        /// <param name="cipherText"></param>
        /// <returns>varbinary</returns>
        [SqlFunction]
        public static byte[] DecryptAndHash( byte[] cipherText )
        {
            byte[] hash ;
            using ( EncryptionEngine cipher = EncryptionEngine.GetInstance() )
            {
                hash = cipher.ComputeSecureHash( cipher.Decrypt( cipherText ) ) ;
            }
            return hash ;
        }

        /// <summary>
        /// The core encrypt/decrypt/hash engine
        /// </summary>
        private class EncryptionEngine : IDisposable
        {
            /// <summary>
            /// get an instance of this class
            /// </summary>
            /// <returns></returns>
            public static EncryptionEngine GetInstance()
            {
                return new EncryptionEngine() ;
            }

            #region IDisposable Members

            /// <summary>
            /// Dispose of any unmanaged resources
            /// </summary>
            public void Dispose()
            {
                throw new NotImplementedException();
            }

            #endregion

            /// <summary>
            /// Encrypt a plaintext string
            /// </summary>
            /// <param name="plainText"></param>
            /// <returns></returns>
            internal byte[] Encrypt( string plainText )
            {
                throw new NotImplementedException();
            }

            /// <summary>
            /// Decrypt an encrypted string
            /// </summary>
            /// <param name="cipherText"></param>
            /// <returns></returns>
            internal string Decrypt( byte[] cipherText )
            {
                throw new NotImplementedException();
            }

            /// <summary>
            /// Compute the secure hash of a string
            /// </summary>
            /// <param name="plainText"></param>
            /// <returns></returns>
            internal byte[] ComputeSecureHash( string plainText )
            {
                throw new NotImplementedException();
            }

        }

    }
}

EncryptionEngine 的内部实现复杂得多，留给读者作为练习。

Answer 2

您可以查看应用程序的身份验证，并从源代码中了解它如何对密码进行身份验证。您应该看到应用程序正在加密密码并将其与数据库中的加密值进行比较。那里的加密功能应该很容易被逆向。盐通常不与加密一起使用，它在生成哈希时使用以防止查找攻击。

我不认为 SQL 可以对 AES128 进行解密，无论如何都不能以直接的方式进行。但是您可以使用标准 API 编写一个简单的 .NET 应用程序，该应用程序将解密每个密码，使用盐对其进行哈希处理，然后将其写回数据库。

Answer 3

存储加密密码的要点是它们无法被解密。事实上，加密是使用密码作为密钥对某些常量（+盐）进行的。

所以基本上目标已经达到了，你无法解密“密码”以获取其明文版本。