Skrót MD5 z solą do przechowywania hasła w DB w C#

Question

Czy mógłbyś mi doradzić jakiś prosty algorytm hashowania hasłem użytkownika przez MD5, ale z sól dla zwiększenia niezawodności.

Teraz mam ten jeden:

private static string GenerateHash(string value) 
{ 
    var data = System.Text.Encoding.ASCII.GetBytes(value); 
    data = System.Security.Cryptography.MD5.Create().ComputeHash(data); 
    return Convert.ToBase64String(data); 
} 

Answer 1

Można użyć klasy HMACMD5:

var hmacMD5 = new HMACMD5(salt); 
var saltedHash = hmacMD5.ComputeHash(password); 

Works with SHA-1, SHA256, SHA384, SHA512 i RIPEMD160, a także:

var hmacSHA1 = new HMACSHA1(salt); 
var saltedHash = hmacSHA1.ComputeHash(password); 

Zarówno salt i password spodziewane są w postaci tablic bajtowych .

Jeśli masz ciągi musisz przekonwertować je na bajtów pierwszy:

var salt = System.Text.Encoding.UTF8.GetBytes("my salt"); 
var password = System.Text.Encoding.UTF8.GetBytes("my password"); 

Answer 2

Oto sample. Obsługuje MD5, SHA1, SHA256, SHA384 i SHA512.

Answer 3

Microsoft zrobić to praca dla ciebie, ale to zajmuje trochę kopania. Zainstaluj rozszerzenia usług sieciowych w wersji 3.0 i spójrz na funkcję Microsoft.Web.Services3.Security.Tokens.UsernameToken.ComputePasswordDigest z Reflectorem.

Chciałbym umieścić tutaj kod źródłowy do tej funkcji, ale nie jestem pewien, czy to legalne. Jeśli ktokolwiek może mnie uspokoić, zrobię to.

Answer 4

Oprócz klasy HMACSHA1 wspomniano powyżej, jeśli wystarczy szybki solona hash, to jesteś już 95% drogi tam:

private static string GenerateHash(string value, string salt) 
{ 
    byte[] data = System.Text.Encoding.ASCII.GetBytes(salt + value); 
    data = System.Security.Cryptography.MD5.Create().ComputeHash(data); 
    return Convert.ToBase64String(data); 
} 

Prawdziwą sztuką jest przechowywanie soli w bezpieczna lokalizacja, na przykład twój plik machine.config.