[C#] BCrypt는 C #에서 사용하기에 좋은 해싱 알고리즘입니까? 어디서 찾을 수 있습니까? [닫은]

먼저 중요한 용어 :

해싱 -문자열을 가져 와서 원래 문자열로 되돌릴 수없는 일련의 문자를 생성하는 작업입니다.

대칭 암호화 -(보통 ‘암호화’라고 함)-문자열을 가져 와서 암호화 한 동일한 암호화 키를 사용하여 원래 문자열로 해독 할 수 있는 일련의 문자를 생성하는작업입니다.

레인보우 테이블 -특정 해싱 알고리즘으로 해시 된 모든 변형 문자를 포함하는 조회 테이블입니다.

소금 -이 해시되기 전에 원래 문자열에 추가 알려진 임의의 문자열.

.NET Framework의 경우 Bcrypt에는 아직 확인 된 참조 구현 이 없습니다 . 기존 구현에 심각한 결함이 있는지 알 수있는 방법이 없기 때문에 중요합니다. 여기서 .NET 용 BCrypt 구현을 얻을 수 있습니다 . 암호화가 좋은 구현인지 나쁜 구현인지에 대해 충분히 알지 못합니다. 암호화는 매우 깊은 분야입니다. 자체 암호화 알고리즘을 구축하려고 시도하지 마십시오 . 진심으로.

자체 비밀번호 보안 (sigh)을 구현하려는 경우 몇 가지 작업을 수행해야합니다.

1. 비교적 안전한 해시 알고리즘을 사용하십시오 .
2. 해시되기 전에 각 암호에 소금을 바르십시오.
3. 용도 각 암호를 독특하고 긴 소금 과 암호로 소금을 저장합니다.
4. 강력한 암호가 필요합니다 .

불행히도,이 모든 작업을 수행하더라도 결정된 해커는 여전히 암호를 알아낼 수 있으므로 시간이 오래 걸립니다. 그것이 당신의 주요 적입니다 : Time .

이 필요하기 때문에 bcrypt 알고리즘이 작동 다섯 개 해시에 이상 크기의 MD5보다 비밀번호를 주문 ; (그리고 여전히 AES 또는 SHA-512보다 훨씬 깁니다). 해커는 레인보우 테이블을 만들어 암호를 조회하는 데 더 많은 시간을 소비하므로 암호가 해킹 당할 위험이 훨씬 적습니다.

암호를 소금에 절이고 해싱하고 각 소금이 다르면 잠재적 해커는 소금의 각 변형에 대해 무지개 테이블을 만들어야합니다 . 단 하나의 소금에 절인 + 해시 암호에 무지개 테이블이 있어야합니다. 즉, 백만 명의 사용자가있는 경우 해커는 백만 개의 레인보우 테이블을 생성해야합니다. 모든 사용자에게 동일한 소금을 사용하는 경우 해커는 시스템을 성공적으로 해킹하기 위해 1 개의 레인보우 테이블 만 생성하면됩니다.

암호를 염두에 두지 않으면 공격자가해야 할 일은 모든 구현 (AES, SHA-512, MD5)에 대해 기존 Rainbow 테이블을 가져와 해시와 일치하는지 확인하는 것입니다. 이 작업 은 이미 완료되었으므로 공격자 가 이러한 레인보우 테이블 자체를 계산할 필요가 없습니다 .

이 모든 경우에도 훌륭한 보안 방법을 사용해야합니다 . 사이트에서 다른 공격 경로 (XSS, SQL 인젝션, CSRF 등 )를 성공적으로 사용할 수 있다면 암호 보안이 중요하지 않습니다. 논란의 여지가있는 말처럼 들리지만 생각해보십시오. SQL 주입 공격을 통해 모든 사용자 정보를 얻을 수 있거나 사용자가 XSS를 통해 쿠키를 제공 할 수 있다면 암호가 아무 문제가되지 않습니다. 보안은 입니다.

기타 자료 :

1. Jeff Atwood : .NET 암호화 단순화 (해싱 개요에 적합)
2. Jeff Atwood : 방금 당신으로 로그인했습니다
3. Jeff Atwood : 암호를 잘못 저장했을 가능성이 있습니다
4. 제프 애트우드 : 스피드 해싱

참고 : 다른 좋은 자료를 추천하십시오. 필자는 수십 명의 저자가 쓴 12 개의 기사를 읽었어야하지만 Jeff가하는 주제에 대해 글을 거의 쓰지 않았습니다. 기사를 찾을 때 수정하십시오.

---

답변