問題タブ [sha512]

ハッシュを使用してWebサイトにセキュリティを実装する方法について読んだことがありますが、銀行やクレジットカードの保管など、非常に機密性の高いものを作成しているわけではありません。ただし、ベストプラクティスを知りたいと思います。私のサイトにはAES256のTLS証明書があります

主な問題：

1.）セッションを通じてハッシュ化されたパスワードを再度ハッシュ化して送信することが、セッションをかなり安全に保つために私が考えることができる唯一の方法のようです。私の意見では、ユーザーがその値を見つけてもかまいませんが、ユーザーがデータベースを表示する方法を見つけて、私の暗号化アルゴリズムが何であるかを正確に知っているかどうかは気になります。

2.）パスワードをハッシュする前にアルゴリズムを完全に削除する必要がありますか、それとも別のハッシュ方法を使用する必要がありますか？

衝突とブルートフォースに関しては両方とも健全であるため、bcryptの前または後にsha512を使用しても大丈夫ですか？

長さ約512KBのデータをチェックするには、高精度のチェックサムが必要です。私は以前にいくつかの異なるチェックサムを知っており、使用したことがありますが、これまでこれほど精度を気にする必要はなかったので、これを見つけたいと思っています。

多項式0x1EDC6F41を使用するCRC-32の複合（最大512ビットの長さ）がある場合、SHA-512（SHA2）ハッシュよりも多かれ少なかれ正確ですか？

SHA-512 を使用してパスワードをハッシュし、mysql データベースに保存しています。sha-512 への入力に特殊文字を含めないという要件はありますか? パスワードは「Qwerty123.1」と「Qwerty123」です。同じように扱われていますが、「Qwerty.11」は上記と同じではありません。何が問題ですか？

私が使用しているコードは次のとおりです。

誰かがこのアルゴリズムが安全かどうかを説明できますか? それを壊す攻撃はありますか？このアルゴリズムは一般的な XOR 暗号化を使用しますが、いくつかの違いがあります。

M(1) = key XOR Message(1)
M(2) = h(key) XOR Message(2)
M(3) = h(h(key)) XOR Message(3)
など

ノート：

1. M(i) は暗号化されたテキスト
2. Message(i) は暗号化するメッセージです
3. key と Message(i) の長さは同じ**
4. 攻撃者は暗号化されたテキストを持っているだけで、キー作成スキーム (ハッシュを継続) と XOR 暗号を知っています。
5. ハッシュ アルゴリズムは SHA-512 です

このコードを使用してハッシュを生成していると仮定します。

実際の例では、サンプルに示されているように、GUIDと日付を使用してハッシュを生成します。これらの値をデータベースから取得します。

このアプローチで異なる値で同じハッシュ結果を得ることが可能でしょうか？

編集：

私が示したように、データベースから値を取得します。ご想像のとおり、Guidは一意のIDキーです（奇跡に遭遇せず、SQLサーバーが同じGuidを複数回生成する場合）。また、日時の値は、レコードの支払い期日となります。ここでデモンストレーションを行いましたDateTime.Todayが、これを本番環境で使用することは絶対にありません。

Rails of this（PHP）に相当するものは何ですか？

私はこれまで得ました：

しかし、サイトソルトを方程式に組み込む方法がわかりません。私が見たすべてのオンラインの例では、ソルトをhexdigestメソッドに渡しません。試してみると、引数が多すぎるとエラーが発生します。

そして、コロン付きのこの表記（私はどこかで見ました）：

同じハッシュを生成しません。

ありがとう

編集 私は私が必要としているものに近いこれに遭遇しました（申し訳ありませんが、私はハッシュ全体に非常に慣れていません）：

ただし、データベースに保存されているハッシュとは異なるハッシュを生成します。

次の SHA512 の使用法のセキュリティについて質問があります。

xとyの 2 つの文字列があるとします。SHA( x ) と SHA( y ) を SHA( x+y ) から導き出すこと、または逆にすることは可能ですか? x+yは、文字列xとyを連結したものです。

前もって感謝します！

私はコントローラーを持っています：landingpage.php

今回はCODEIGNITERを除いて、手続き的にアプリを実行していたときのように、SHA 512ハッシュをどのように実装できるのだろうか??

コードイグナイターにはこのための組み込み関数がありますか??? または似たようなものですか？

この記事http://codahale.com/how-to-safely-store-a-password/を読みましたが、ソルトを使用することはGPUブルートフォース攻撃に対しても安全ではないと書かれています。ハッキングされてパスワードが数週間で復号化されるのは嫌です...それで、もう少し読んで、解決策はbcrypt実装したくないということでしたphpass class。私はSHA-512が好きです。

ただし、sha-512にラウンドを追加してGPU攻撃を遅くすることができれば、どうすればよいでしょうか。ラウンドは反復を意味しますか？

sha512を遅くするためにどのようにラウンドを追加しますか？

ユーザーが入力したパスワードが有効かどうかを比較する必要があります。sha512暗号化を取得するにはどうすればよいですか。プロジェクトでもFOSUserBundleを使用しています。