13

LinkedInのパスワード リークは、パスワードを安全にハッシュすることがいかに重要であるかを証明しました。ただし、ソルトを使用してパスワードをハッシュしても、「通常の」ハッシュ アルゴリズム (MD5 や SHA ファミリなど) では安全ではありません。これは、ハッカーが 1 秒あたり 23 億回のハッシュを計算できるように速度が最適化されているためです (ブルート フォース)。

PBKDF2 、Bcrypt 、 PBMAC、scryptなど、計算負荷がはるかに高いため、より安全に使用できるハッシュ アルゴリズムがあります。ただし、これらのハッシュ アルゴリズムは .NET フレームワークには含まれていないようです。

では、.NET フレームワークには、どのパフォーマンス集約型のハッシュ アルゴリズムが含まれているのでしょうか?

回答: PBKDF2 はフレームワークに含まれており、このサイトでは適切な使用方法を示しています。

4

3 に答える 3

12

意味のあるクラス名ではないと思いますが、.NET フレームワークには含まれていると思います。複数の情報源によると、Rfc2898DeriveBytesは実際には PBKDF2 実装です。MSDNもそう言っています。

パスワードをキーまたは IV として直接使用するのではなく、(.NET で) Rfc2898DeriveBytes クラスを使用する必要があるのはなぜですか? を参照 してください。Rfc2898DeriveBytes を使用した C# での PBKDF2 実装

例えば。

于 2012-06-08T12:43:21.770 に答える
1

もあります：

http://bcrypt.codeplex.com/（bcrypt）

http://www.zer7.com/software.php?page=cryptsharp（scryptなど）

于 2012-06-08T15:15:51.387 に答える
-1

100％安全なハッシュアルゴリズムはありません。LinkedInのハッキングは、ハッシュアルゴリズムよりもインフラストラクチャ/コードのセキュリティによるものでした。任意のハッシュを計算できますが、ハッシュアルゴリズムが複雑になるほど時間がかかります。衝突攻撃などの一部の攻撃は、実際には、より複雑なハッシュで実行するのにそれほど遅くはありません。

私は常にパスワードをハッシュし（暗号化するだけではなく）、サーバーへのアクセスを制限するようにしています。私のために働いているすべての開発者は、少なくともセキュリティの基本（SQLインジェクション、オーバーフローなど）を理解しており、私が取り組んでいる注目度の高いサイトはすべて侵入テストされています。

于 2012-06-08T13:24:47.970 に答える