c# - C# 暗号化されたパスワードを読み戻す

Question

以下のコードを使用してパスワードをレジストリに保存していますが、元に戻すにはどうすればよいですか? 以下のコードは私のものではありませんが、うまく暗号化されています。

ありがとう

using System.Security.Cryptography;

public static string EncodePasswordToBase64(string password)
{  byte[] bytes   = Encoding.Unicode.GetBytes(password);
   byte[] dst     = new byte[bytes.Length];
   byte[] inArray = HashAlgorithm.Create("SHA1").ComputeHash(dst);
   return Convert.ToBase64String(inArray);
}

score 32 · Accepted Answer

SHA1 はハッシュアルゴリズムであり、暗号化アルゴリズムではありません。ハッシュアルゴリズムは、データをそのデータのハッシュに変換する一方向関数ですが、ハッシュから元のデータを取得することはできません。暗号化アルゴリズムは、データを暗号化されたデータに変換する双方向関数であり、暗号化されたデータを元のデータに戻すことができます。

score 12 · Accepted Answer

パスワードを安全に保存して読み戻せるようにするには、ProtectedDataクラスを使用します。

public static string ProtectPassword(string password)
{
    byte[] bytes = Encoding.Unicode.GetBytes(password);
    byte[] protectedPassword = ProtectedData.Protect(bytes, null, DataProtectionScope.CurrentUser);
    return Convert.ToBase64String(protectedPassword);
}

public static string UnprotectPassword(string protectedPassword)
{
    byte[] bytes = Convert.FromBase64String(protectedPassword);
    byte[] password = ProtectedData.Unprotect(bytes, null, DataProtectionScope.CurrentUser);
    return Encoding.Unicode.GetString(password);
}

score 8 · Accepted Answer

ユーザーがシステムにアクセスするためにパスワードとして入力したものは何でも取得し、同じ方法で暗号化し、暗号化された値を比較します。これが通常のアプローチです。SHA1 がトラップドア暗号化であることは確かです。つまり、バックトラックできません。

score 7 · Accepted Answer

あなたはそうしない。

SHA1 はハッシュであり、暗号化ではありません。これは一方向の操作です。逆変換は不可。

(わかりました、これは厳密には真実ではありません。可能性のある SHA1 値とプレーンテキスト値のテーブル、レインボーテーブルがある場合は、運がいいかもしれません)

また、現在、レインボーテーブル攻撃に対して脆弱であるため、ハッシュをソルティングする必要があります。ジェフは彼のブログでこれについてもう少し話しています

score 3 · Accepted Answer

わかりました、これがあなたの特定の Q に答えていないことはわかっていますが、なぜそれを元に戻したいのですか?

認証を提供するために比較する場合、標準的なアプローチは、このテキストも暗号化し、保存されたパスワードを提供されたパスワードと比較することです。

これは、元のパスワードを解読する必要がないことを意味するため、より安全です。

score 2 · Accepted Answer

System.Security.Cryptography.ProtectedData クラスを使用するには、System.Security への参照をプロジェクトに追加する必要があります。

(References フォルダーを右クリックし、[参照の追加...] を選択し、.NET タブで System.Security を見つけます)

score 2 · Accepted Answer

ハッシュを使用するポイントの 1 つは、ハッシュを計算して戻すことができないことだと思います。

他の誰かが言ったように、ユーザーのパスワードからハッシュを計算し、保存されているハッシュ値と比較します。

score 1 · Accepted Answer

ええと、ちょっと興味がありますが、同じ長さのすべてのパスワードに対して同じハッシュを返すのではないでしょうか?

score 0 · Accepted Answer

XMLEncryptedData クラスが最近追加されたことに気付きました。データを XML ファイルに暗号化する場合、XMLEncryptedData メソッドは DPAPI メソッドよりも望ましいですか?

score 0 · Accepted Answer

上記の独自のコードスニペットを使用して、ユーザーが最初にパスワードを選択したときにそのメソッドを呼び出しますが、パスワード文字列のどこかにソルトと呼ばれるものをパスワードに追加します (通常は先頭または末尾)。次に、ユーザーが後で認証を試みるときにパスワードを入力し、同じ方法でハッシュと一緒にそのパスワードを実行します。2 つのハッシュが等しい場合、パスワードが等しく有効である可能性は統計的に非常に優れています。

そうは言っても、SHA1 には弱点があることが知られており、より強力なアルゴリズムを選択する必要があります。SHA ファミリーにとどまりたい場合は、SHA512 が非常に適しています。

score 0 · Accepted Answer

ハッシュではなく暗号化を使用したい。SHA は問題ありませんが、暗号化方式を使用してください。暗号化の問題は常に、その鍵をどこに置くかです。これがワークステーションであるかサーバーであるかについては言及していません。サーバーでは、ACL を使用して reg キーへのアクセスを制限する方が良いと思います。とにかく、管理者は通常、暗号化キーにアクセスできます...どこかである程度の信頼が必要です。ワークステーションでは、暗号化を使用してキーをコードに保存するか、証明書を使用して、少なくとも企業環境でアクセスを制限できます...非販売ソフトウェア)。

ProtectedData クラスを使用できますが、キーの使用にユーザープロファイルを使用することに注意してください。そのため、必要なキーを持つプロファイルを持つユーザーになりすます必要があります。これは些細なことかもしれませんし、頭の痛い問題やセキュリティの問題を引き起こすかもしれませんし、しないかもしれません。

c# - C# 暗号化されたパスワードを読み戻す

11 に答える 11

Related

Reference