問題タブ [saltedhash]

ユーザーのメールアドレスを確認しています。
ほとんどの人が言う方法は、いくつかの一意のトークンを作成してそれをdbに保存し、ユーザーに送信することです。

私は、サイト全体のソルトを使用して電子メールアドレスをハッシュ（sha256）し
、このハッシュをユーザーに送信するだけでそれを行っています。

私は何かが足りないのですか、それともこれで確認できますか？

パスワードをハッシュしてSpringSecurity3でソルトするにはどうすればよいですか？

私は先日クラスにいましたが、Unix SALTについて、そしてそれがどのようにしてパスワードを推測するのをはるかに難しくするかについて話していました。私の問題は、SALTがハッシュされたパスワードのすぐ隣にプレーンテキストで保存されていることです。これにより、SALTをより安全にするにはどうすればよいでしょうか。つまり、SALTがすぐそこにある場合は、SALTを追加してから、推測をハッシュします。また、レインボーテーブルでの推測の事前計算に関する問題も私には意味がありません。SALTを確認し、最初に指定されたSALTで事前計算するだけです。私が考えることができる唯一の議論は、悪意のあるユーザーが/ etc / passwordファイルにアクセスできないということですが、ハッカーはどのようにしてパスワードのハッシュを知るのでしょうか。誰かが私を正しい方向に向けてくれたら本当にありがたいです。ありがとう！

ユーザー名とパスワードを要求するログイン ページがあります。このページには「Remember Me」チェックボックスがあります。

Authentication is: 提供されたユーザー名について、提供されたパスワードをユーザー データベース レコードに保存されたソルトを使用してハッシュに変換し、そのハッシュを保存されたハッシュと比較します。

ユーザーがボックスにチェックを入れたとき、次回訪問時に自動ログインするには、Cookie に何を保存すればよいですか?

ユーザー名とパスワードのハッシュ値を Cookie に保存し、次回の訪問時にユーザーを再認証するのが良い方法だと考えていました。ソルトはデータベースに保存されます。

わかりました、それで私はphpを介して私のウェブサイト上のいくつかの広告のために生成されるいくつかのリンクを持っています。今私が抱えている問題は、md5がどのように機能するかを理解していることです。これは暗号化ではなく、最もまれな形式で再レンダリングすることはできません。.....魔女を選択するためのデータとして使用したいmysqlIDがいくつかあります。 adをデータベースに照会しますが、ユーザーに広告IDへのアクセスを許可したくないので.....この場合、誰かがハッシュ/ソルト方式の使用方法を教えてくれることを期待していました.....注意：私はこのサイトでこの回答を探していましたが、ソルト/ハッシュは暗号化ではないと何度も言われていますが、リンクがハッシュされている場合は、サイトをハッキングしようとするのは簡単ではありません。それらが単なる整数である場合になります。

phpスクリプト：

あるシステムから別のシステムに、暗号化されたパスワード (ハッシュ パスワード) を移行できるシステムをセットアップしたいと考えています。どうすればいいですか？

2 か月後、10 倍優れた暗号化を発見し、現在のハッシュ関数は疑いもなく完全に脆弱であることが証明されました。ユーザーパスワードをあるタイプのハッシュから別のタイプ (より良いもの) に移行するにはどうすればよいでしょうか。

パスワードをプレーンテキストで保存するレガシーアプリケーションを使用しています。アプリケーションをSpring3mvc+securityに移植しました。また、sha256 +ユーザー名に基づくソルトを使用して、認証と承認を処理するSpringセキュリティを正常に取得しました。これはすべてうまく機能しますが、展開の一環として、新しいパスワードスキーマを使用するために既存のデータベースを移行する必要があります。Spring Securityがソルトを使用したパスワードハッシュをどのように行うのかわからないため、古いプレーンテキストのパスワードを新しいsha256+saltスキーマに移行するために使用できるSQLスクリプトを作成できません。これを理解するために使用できるドキュメントやリソースはありますか？

このサイトからhttp://codahale.com/how-to-safely-store-a-password/ :

ソルトは、辞書攻撃やブルート フォース攻撃を防ぐのには役に立たないことに注意することが重要です。

辞書攻撃を防ぐのにソルトが役に立たないのなら、なぜソルトを使うのでしょうか?

いくつかの攻撃からパスワードを保護するためのソルト ハッシュ パスワード技術について読みました。https://www.owasp.org/index.php/Hashing_Java#Why_add_salt_.3F

しかし、ややこしいことがあります。ソルト値を送信して (すべての用途でログインを試みます)、Javascript を使用してそのソルトでハッシュを計算する必要がありますか?

セキュリティの向上に役立つと思います。しかし、よくわかりません。この方法を使用する人は誰もいません。

前もって感謝します。

一部のデータの暗号化が必要なAndroidとiPhoneの両方でアプリを開発しています。

両方のプラットフォームで同じハッシュを生成するデータを暗号化する方法があるかどうか知りたいです。私は共通のソルトを持っていますが、サーバーが両方のプラットフォームで同じであるため、ダイジェストから同じ暗号化データを出力したかっただけです。

私はiphoneに少し慣れていないので、私の質問は素朴です。それに耐えてください。