問題タブ [password-protection]

ハッシュ化されたパスワードとソルト値についてのアイデアがありました。私はハッシュと暗号化にかなり慣れていないので、これを投稿したいと思いました。ユーザーアカウントごとに一意のソルトを生成し、ソルトとハッシュ値をデータベースに保存する方が安全でしょうか? または、単一のソルト値を安全に保存しておき、パスワードをハッシュするたびにそれを再利用しますか?

たとえば、ユーザーは次のパスワードを使用します。

私のコードは、次のソルト値を生成します。

次に、結果をハッシュして取得します。

ハッシュされた結果とソルトは、アカウントが作成されたときに、ユーザー プロファイルのデータベースに保存されます。その後、ユーザーがログオンするたびに新しいソルトが生成され、パスワードとソルトが再ハッシュされてデータベースに保存されます。

何かご意見は？私が言ったように、これは私が持っていたアイデアの健全性チェックです。

私はAndroid用のパスワードセーフのバージョンに取り組んでいます。Password Safeはパスフレーズを使用してパスワードを暗号化しますが、スマートフォンで長いパスフレーズを入力するのは、特にマスクされている場合は面倒です。単純な画像の配列など、パスフレーズの代替手段を使用して調査したいと思います。

そのようなパスワード方式の良い例はありますか？どんな画像が一番いいですか？ ゼナーカードは良い選択のように見えますが、ニーモニックデバイスには向いていないようです。確かに、強力なパスフレーズを取得するために必要な値の数についてはそうではありません。

編集：いくつかの教訓が役立つかもしれません。パスワードセーフのポイントは、パスワードを含むファイルが決して保存されない強力なキーで暗号化されることです。PCでは、この強力なキーは、金庫のロックを解除するときに入力するフレーズまたは単語の暗号化ハッシュです。金庫はあなたが与えたパスワードを自動的に「忘れ」、X分後に暗号化されていないバージョンのデータをすべて削除するので、あなたは脆弱ではありません。

理想的には、2つの同じように強力なキーの1つで復号化できるパスワードセーフのバージョンを確認したいと思います。キーの1つは英数字キーボードに適しており、もう1つは質問への回答になります。

これまでのところ、私が思いついた最善のアイデアは、ユーザーが判じ物を作成できるフレーズを入力できるようにし、画像ベースの判じ物エントリを結果の入力方法にすることです。

ソルトを生成し、(bcrypt などを使用して) パスワードをハッシュしたら、結果を文字列またはバイト配列としてデータベースに保存するのが最善でしょうか? どちらにしてもメリットはありますか？それとももっと主観的な判断ですか？

dbアクセスなしでページをパスワードで保護することは可能ですか？数ページしかないかもしれません。ただし、パスワードを変更したり、セッションを保存したりできるはずです。また、本番サイトの場合と同じように安全な方法が必要です。

md5の後にconfig.phpに保存するにはどうすればよいですか？

これが良い考えである場合、check.phpなどと呼ばれる1つのスクリプトからこのphpへのアクセスを制限する方法はありますか？

実行中のサーバーにパスワードで保護されたディレクトリがあります。このディレクトリから (URL を使用して) いくつかのファイルを iPad アプリケーションの Documents ディレクトリにダウンロードしたいと考えています。アクセスしようとしているディレクトリのパスワードを送信するにはどうすればよいですか?

私はサイトを持っており、ユーザーがこのアカウントをリセットするには、確認コードがメールで送信されますが、話し合った後、これは大きなセキュリティホールになる可能性があります。使用できる小さなアプリを作成し、サイトがいかに安全でないかを上司に示したいと思います。

基本的に、コードの長さは12文字で、最後の4文字は固定されており、0〜9の16進文字とafのみを使用します。

つまり、私の理論では、ハッカーはユーザー名を知っているので、確認コードをブルートフォース攻撃してユーザーのパスワードを無価値にすることができます。

このようなプログラムの作成を開始するのに適した場所を知っている人はいますか？

コードを使ったプログラミングの質問であることは知っていますが、投稿するのは妥当だと思います。そうでない場合は、質問に答えられる.netプログラミングフォーラムに案内してください。

選択グループまたはコンポーネントを保護するのを手伝ってくれる人はいますか?

例えば

この作業スクリプトのようなもの:P

asdf.com と asdf.ru の 2 つのドメインがあります (.ru はパーク ドメインです)。それらはサーバー上の同じフォルダーを指しています。（すべて同じです。唯一の違いは言語です）。サブディレクトリを使用できません。.ruドメインをパスワードで保護し、.com ドメインを保護しないままにすることはできますか?

ありがとうございました。

この関数を PHP に変換しようとしていますが、どういうわけか同じ結果が得られません。

これはPHPでの私の見解です

もちろん、それは機能しません。それで、私はここで何が間違っていますか？

テスト用の値は次のとおりです。

編集：MartyxとSlacksからの提案に基づく実用的なソリューション

Amazon S3 でフォトギャラリーをホストしたいと考えています。一部は公開され、一部はパスワードで保護されます。これを達成するための最良の方法は何ですか？私の知る限り、S3 は .htaccess ファイルをサポートしていません。

ありがとう、イストヴァン