HashPasswordForStoringInConfigFile - 相同密码的不同哈希值

Question

我最近在我正在从事的一个项目中对我的密码实施了哈希，但我似乎无法弄清楚出了什么问题。

看来 HashPasswordForStoringInConfigFile() 函数为同一密码返回不同的值。

我实现了以下代码，它实际上非常类似于 MSDN 文档上使用的推荐算法。

我知道 SHA1 散列被认为不是很安全，但这是用于研究应用，目前我并不太担心。

 public const int DefaultSaltSize = 5;
    private static string CreateSalt()
    {
        RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider();
        byte[] buffer = new byte[DefaultSaltSize];
        rng.GetBytes(buffer);
        return Convert.ToBase64String(buffer);
    }

    public static string CreateHash(string password)
    {
        string salt = CreateSalt();
        string saltAndPassword = String.Concat(password, salt);
        string hashedPassword = FormsAuthentication.HashPasswordForStoringInConfigFile(saltAndPassword,"SHA1");
        hashedPassword = string.Concat(hashedPassword,salt);
        return hashedPassword;
    }

    public static bool VerifyPassword(string username, string password,AccountDataContext context)
    {
        var user = context.UserAccounts.FirstOrDefault(p => p.UserName == username);
        if (user != null)
        {
            string salt = user.Password.Substring(user.Password.Length - DefaultSaltSize);
            string hashedPassword = CreateHash(password);
            return hashedPassword.Equals(user.Password);
        }
        return false;

    }

简而言之，如果我有以下代码。

string password1 = "password";
string password2 = "password";

var hashedPassword1 = CreateHash(password1);
var hashedPassword2 = CreateHash(password2);

var match = hashedPassword1.Equals(hashedPassword2);

//match should be True, but it is turning out False.

看来 FormsAuthenticationForStoringInConfigFile() 没有在 CreateHash() 方法中为 password1 和 password2 返回相同的哈希值。

我知道应用了盐后它们并不相同，但如果您在代码中看到，我会在比较两个散列密码是否相等之前删除盐。

是什么可能导致密码 1 和密码 2 的哈希值不同？

Answer 1

您的代码在散列之前已向密码添加了盐（随机值）。这是一件好事。

这意味着如果用户 A 和用户 B 使用相同的密码，则密码哈希值仍然不同。

您的VerifyPassword方法没有使用原始盐来哈希密码以进行比较 - 而是调用CreateHash，后者调用CreateSalt并创建新的盐。

你可以尝试这样的事情：

public static string CreateHash(string password)
{
    return CreateHash(password, CreateSalt());
}

private static string CreateHash(string password, string salt)     
{         
    string saltAndPassword = String.Concat(password, salt);         
    string hashedPassword = 
        FormsAuthentication.HashPasswordForStoringInConfigFile(
                         saltAndPassword,"SHA1");         
    hashedPassword = string.Concat(hashedPassword,salt);         
    return hashedPassword;     
} 

    public static bool VerifyPassword(string username, 
                    string password,AccountDataContext context)
    {
        var user = context.UserAccounts.FirstOrDefault(p => p.UserName == username);
        if (user != null)
        {
            string salt = user.Password.Substring(user.Password.Length - DefaultSaltSize);
            string hashedPassword = CreateHash(password, salt);
            return hashedPassword.Equals(user.Password);
        }
        return false;

    }

Answer 2

尽管VerifyPassword看起来像是剥离了未散列字符串的盐部分，但您所说的应该返回 true 的代码实际上并没有调用VerifyPassword。

您的代码只是生成两个加盐哈希值，然后使用 String.Equals 来比较它们。

当您使用VerifyPassword而不是String.Equals时会发生什么？

Answer 3

这段代码也根本不起作用。为什么它被标记为正确答案？

Salt 的默认长度设置为 5

创建 Salt，当它采用 5 字节数组到字符串时，它会变成 8 个字符而不是 5

验证密码，然后盐只需要 5 个字符而不是 8，因此验证将始终失败，因为它使用的是 5盐的字符，而不是用于创建散列密码的 8。

下面是使上述代码正常工作的更新代码。

    private const int DEFAULT_SALT_SIZE = 5;

    private static string CreateSalt()
    {
        RNGCryptoServiceProvider rngCryptoServiceProvider = new RNGCryptoServiceProvider();
        byte[] buffer = new byte[DEFAULT_SALT_SIZE];
        rngCryptoServiceProvider.GetBytes(buffer);
        return Convert.ToBase64String(buffer);
    }

    public static string CreateHash(string password)
    {
        return CreateHash(password, CreateSalt());
    }

    private static string CreateHash(string password, string salt)
    {
        string saltAndPassword = String.Concat(password, salt);
        string hashedPassword = FormsAuthentication.HashPasswordForStoringInConfigFile(saltAndPassword, "SHA1");
        hashedPassword = string.Concat(hashedPassword, salt);
        return hashedPassword;
    }

    public static bool VerifyPassword(string userpassword, string password)
    {
        byte[] bytePassword = Convert.FromBase64String(userpassword);
        byte[] byteSalt = new byte[DEFAULT_SALT_SIZE];
        Array.Copy(bytePassword, bytePassword.Length - DEFAULT_SALT_SIZE, byteSalt, 0, DEFAULT_SALT_SIZE);
        string salt = Convert.ToBase64String(byteSalt);
        string hashedPassword = CreateHash(password, salt);
        return hashedPassword.Equals(userpassword);
    }

我就是这么称呼它的。

        string hashedPassword = Security.CreateHash("password");
        if (Security.VerifyPassword(hashedPassword, "password"))
        {
            Response.Write("Valid");
        }
        else
        {
            Response.Write("Not Valid");
        }

只要密码匹配就返回 true，否则返回 false。

这给了你我认为的意图，它不仅包括散列内部的盐，而且还将它添加到散列的外部，这样它就可以作为 1 列值存储在数据库中，然后用于重新创建散列用户使用存储的盐值输入密码并获得匹配。