Можно ли сравнить хэш + соль asp.net с базой данных HIBP? - PullRequest
0 голосов
/ 04 сентября 2018

У меня есть веб-сайт, который использует безопасность asp.net по умолчанию для аутентификации пользователей, и таблицу с хэшами и солями паролей. Можно ли сравнить их с хешированными паролями из базы данных haveibeenpwned.com?

1 Ответ

0 голосов
/ 05 сентября 2018

Не совсем.

Вы не можете сделать это, напрямую обращаясь к базе данных, потому что вам нужна строка открытого текста, чтобы получить правильный хеш для выполнения поиска.

Но вы могли бы подойти к этому по-другому - взломав существующие соленые хэши, используя взломанные массивы данных HIBP с hashes.org . Это, как правило, не рекомендуется в большинстве случаев.

Вы также можете настроить его, чтобы проверить его в обстоятельствах, когда у вас уже есть открытый текст - всякий раз, когда пользователи регистрируются, входят в систему и / или меняют свой пароль и т. Д. Общий черный список самых популярных X известных паролей. как правило, хорошая идея, но я не рекомендую использовать все 512 миллионов паролей в качестве черного списка для создания нового пароля без значительного дополнительного руководства по UX о том, как создавать хорошие пароли (с произвольно сгенерированными парольными фразами в стиле Diceware или случайно сгенерированные строки, хранящиеся в менеджере паролей и т. д.)

...