Нет, нет, тысячу раз нет.
Если вам разрешено просматривать код GPLv2, взгляните на исходный код KeePass.
Главный пароль превращается в ключ (получение ключа на основе пароля), и этот ключ используется для шифрования и дешифрования отдельных фрагментов данных (отдельных паролей).
Таким образом, процесс похож на это:
1. Отключите любой вид свопинга на диск, который вы можете отключить. Спросите у пользователя мастер-пароль.
Превратите мастер-пароль в мастер-ключ шифрования только в памяти, используя что-то вроде PBKDF2 (HMAC-SHA-256, мастер-пароль, сохраненная случайная соль *, 2000000, 256) - PBKDF2 также известен как RFC2898 и PKCS # 5. HMAC-SHA-256 - это функция хеширования. Мастер-пароль - это то, что пользователь ввел - он никогда не сохраняется ни в какой форме! Хранимая случайная соль - это 64-разрядное или большее криптографически случайное значение, генерируемое заново каждый раз, когда выбирается новый мастер-пароль, и сохраняется вместо , сохраняя любую форму мастер-пароля вообще. 2000000 - это количество раз, которое мы собираемся запустить HMAC, который хранится и должен выбираться пользователем - это должно быть столько, сколько вы можете ждать (KeePass имеет функцию для их сравнения и определения, сколько времени занимает 1 секунда). - Я рекомендую увеличить это до 4 или 5 секунд). 256 - это количество требуемых выходных битов - в этом случае я предполагаю, что вы собираетесь использовать CAMELLIA-256 или AES-256 для шифрования ваших паролей (просто сопоставьте, сколько битов ваша функция шифрования использует для ключа) ,
Да, вместо этого можно использовать scrypt или bcrypt.
Проверьте, был ли главный пароль правильным: если мы собираемся в существующую базу данных с существующим главным паролем, используйте этот ключ только в памяти, чтобы расшифровать некоторые фиксированные данные, такие как «по умолчанию» пароль. Если значение расшифровывается до ожидаемого значения, введенный мастер-пароль был правильным, если нет, мастер-пароль был неверным и / или база данных повреждена. Если мы запускаем новую базу данных или меняем главный пароль, зашифруйте этот пароль по умолчанию и сохраните зашифрованное значение.
Используйте главный ключ шифрования для расшифровки URL-адресов, имен пользователей, заметок и других данных, не связанных с паролем.
Используйте мастер-ключ шифрования, чтобы расшифровать существующие пароли только по запросу пользователя (но только по точному паролю, запрошенному пользователем), а затем перезаписать данные случайным мусором, как только они это сделают, или таймером. заканчивается. Зашифруйте новые пароли, используя указанный главный ключ шифрования.
Как только пользователь завершит работу или истечет таймер, перезапишите все переменные (особенно главный ключ шифрования только в памяти) со случайным мусором.
Примечание, которое вы храните:
- Количество итераций
- Соль
- Зашифрованный «фиксированный» пароль, используемый исключительно для проверки правильности мастер-пароля
- Зашифрованное имя пользователя, URL, заметки и т. Д.
- Зашифрованные пароли отдельных сайтов
Вы никогда не храните ни мастер-пароль, ни его хэш. Вы никогда не сравниваете мастер-пароль, его хеш или даже сгенерированный мастер-ключ шифрования с чем-либо еще. Вы только когда-нибудь берете мастер-пароль и превращаете его в мастер-ключ шифрования, а затем используете этот ключ для шифрования или дешифрования данных - известные данные («фиксированный» пароль) позволяют увидеть, дал ли этот ключ ожидаемые результаты. Неизвестные данные (все, что пользователь ввел и заботится о них) также шифруются или дешифруются, если вы знаете, что мастер-пароль правильный.