security - ユーザーアカウントの認証とパスワードを処理する最適な方法

Question

データベースにアクセスできる従業員がアカウントにアクセスできるようにすることなく、システムでユーザーアカウント管理を処理する最良の方法は何ですか?

例:

ユーザー名/パスワードをデータベースに保存します。データベースにアクセスできる人なら誰でもユーザー名とパスワードを見ることができるため、これは悪い考えです。したがって、それを使用します。
ユーザー名/パスワードのハッシュを保存します。これはより良い方法ですが、データベース内のパスワードハッシュを、認証情報を知っている別のアカウントのハッシュに置き換えることで、アカウントにアクセスできます。次に、アクセスが許可された後、データベースに戻します。

Windows/* nix はこれをどのように処理しますか?

score 5 · Accepted Answer

これはより良い方法ですが、データベース内のパスワードハッシュを、認証情報を知っている別のアカウントのハッシュに置き換えることで、アカウントにアクセスできます。

これを回避する方法は本当にありません。パスワードファイルへの書き込みアクセス権を持つユーザーは、コンピュータを完全に制御できます。

score 4 · Accepted Answer

これは何年も前に UNIX でよく見られた問題であり、ユーザー ID コンポーネント (ユーザー名、UID、シェル、フルネームなど) を認証コンポーネント (パスワードハッシュ、パスワードハッシュソルト) から分離することで解決されました。ID コンポーネントはグローバルに読み取り可能ですが (UID をユーザー名にマップする場合は実際にそうする必要があります)、認証コンポーネントはユーザーがアクセスできないようにしておく必要があります。ユーザーを認証するには、ユーザー名とパスワードを受け入れ、「認証された」または「認証されていない」という単純な結果を返す信頼できるシステムを用意します。このシステムは、認証データベースにアクセスできる唯一のアプリケーションである必要があり、タイミング攻撃を回避するために応答する前にランダムな時間 (おそらく 0.1 ～ 3 秒) 待機する必要があります。

score 4 · Accepted Answer

私は2で行きますが、塩を使用します。擬似コード:

SetPassword(user, password)
    salt = RandomString()
    hash = Hashfunction(salt+password)
    StoreInDatabase(user, salt, hash)

CheckPassword(user, password)
    (salt, hash) = GetFromDatabase(user)
    if Hashfunction(salt+password) == hash
        return "Success"
    else
        return "Login Failed"

ライブラリに実装されているよく知られたハッシュ関数 (MD5 や SHA-1 など) を使用することが重要です。自分で作成したり、本から実装しようとしたりしないでください。間違ってしまうリスクを冒す価値はありません。

@Brian R. Bondy: ソルトを使用する理由は、辞書攻撃をより困難にするためです。攻撃者は辞書をハッシュしてすべてのパスワードを試すことはできません。代わりに、彼女はソルト + 辞書を取得してハッシュする必要があります。ストレージ要件が明らかになります。最も一般的な 1000 個のパスワードの辞書があり、それらをハッシュすると、16 kB 程度が必要になりますが、ランダムな文字を 2 つ追加すると、62*62*16 kB ≈ 62 Mb になります。

私はOTPWについて良いことを聞いたことがありますが、使用したことはありません。

score 3 · Accepted Answer

Jeff Atwood は、ハッシュに関するいくつかの優れた投稿を持っています。

score 3 · Accepted Answer

openID を使用して、機密のユーザーパスワードをまったく保存しないこともできます。ウェブサイト専用だと誰が言ったのですか？

score 2 · Accepted Answer

本当に悪い考えです。データベースが侵害された場合、すべてのアカウントが侵害されます。
良い方法です。ハッシュアルゴリズムにユーザー名が含まれている場合、パスワードハッシュを別のものに置き換えても機能しません。

Unix は、特権ユーザーのみがアクセスできるテキストファイル /etc/shadow にハッシュを保存します。パスワードはソルトで暗号化されます。

score 0 · Accepted Answer

ユーザー名とパスワードを一緒にハッシュします。そうすれば、2 人のユーザーが同じパスワードを持っていても、ハッシュは異なります。

score 0 · Accepted Answer

「システム」が公開 Web サイトの場合、RPXは、OpenId、Facebook、Google などの最も一般的なプロバイダーのログイン/ユーザーアカウントサービスを提供できます。

さて、あなたが質問を定式化する方法を考えると、あなたが話している「システム」は、内部のWindows / Linuxベースのエンタープライズアプリである可能性が高いと思います. それにもかかわらず; ログイン/ユーザーアカウントプロバイダーを探し回っているユーザー (RPX に出会う前に行ったように) には、これが適している可能性があります :)

score 0 · Accepted Answer

通常のアプローチは、電子メールでオプション 2 を使用することです。

ユーザー名、パスワードハッシュ、電子メールアドレスをデータベースに保存します。

ユーザーはパスワードを入力するかリセットすることができます。後者の場合、ランダムなパスワードが生成され、ユーザーの新しいハッシュが作成され、パスワードが電子メールでユーザーに送信されます。

編集：データベースが侵害された場合、機密情報にアクセスできないことを保証することしかできず、アプリケーションのセキュリティを確保できなくなります.

score 0 · Accepted Answer

ハッシュ化されたパスワードのソルトを別のテーブルに保存できます。もちろん、各ユーザーには独自のソルトがあります。その後、そのテーブルへのアクセスを制限できます。

security - ユーザー アカウントの認証とパスワードを処理する最適な方法

11 に答える 11

Related

Reference

security - ユーザーアカウントの認証とパスワードを処理する最適な方法