欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页

程序员是如何处理密码的?

程序员文章站 2022-03-21 17:31:19
...

程序员是如何处理密码的?

数据大爆炸时代,信息泄露事件屡见不鲜。作为程序员,从自身做起,有什么加固信息保护的方法吗?事实上,复杂且好记的密码就是必备手段之一。

程序员是如何处理密码的?

作者 | Nathilia Pierce

译者 | 弯月,责编 | 屠敏

出品 | CSDN(ID:CSDNnews)

以下为译文:

如今,密码仍然是主要的身份验证方式——以某种熟悉的形式。人类很懒惰,经常设置保密程度很低的密码或重用密码。

人们在保护密码方面进行了很多研究和思考。我们所用的密码就是挑战-应答式(Challenge-Response)认证方案中最简单的形式。

因为挑战问题“您的密码是什么?”会被反复询问,应答也会反复使用,因此为重放攻击(replay attack)敞开了大门。

程序员是如何处理密码的?

选择正确的哈希算法 

Argon2是一个**派生函数,它是最好的密码哈希算法,因此新项目应该考虑使用该算法。如果你无法使用Argon2,则可以考虑Scrypt。其他**派生函数都不应考虑在内。

Argon2i可以抵御旁路攻击(side-channel attack),而Argon2d则可以抵御时空平衡攻击(time-memory tradeoff attack)。Argon2id是两者的结合,可以同时抵抗两种攻击,并且适用于大多数情况。

因此,我们都应该使用Argon2id。

程序员是如何处理密码的?

正确地给哈希“加盐”

“盐”与Nonce(只使用一次的随机数)密切相关,然而,Nonce只能用于通信协议,无法用于哈希。Nonce可以防止重放攻击,而“盐”可以防止预先计算好的哈希(又名彩虹表)。区分二者很重要,因为它们预防的攻击是不同的。

“盐”唯一的要求是它应该对于每个哈希是唯一的,而且是公开的,但为了防止加盐后的哈希被预先计算,“盐”的产生应当是不可预测的。

我们可以认为,密码学安全伪随机数生成器产生的32字节输出是不可预测的唯一值。

程序员是如何处理密码的?

正确地给哈希“加胡椒”

如果你曾研究过互联网的“盐”,那么你可能也听说过“胡椒”。“胡椒”是一种**,用于哈希函数,“胡椒”不可预测且对每个应用程序来说都是唯一的。

等等,听起来很像是**散列消息认证码,对吗?没错,它就是。你必须非常小心地实现“胡椒”,因为它可能引发长度扩展攻击和Bcrypt的棘手问题。 

Argon2的官方规范中实现了一个secret value,可以充当“胡椒”的可选参数。如果你使用的实现不支持secret value,那么请对哈希进行加密。如果你不使用Argon2,那么请对哈希进行加密。

不要在实现“胡椒”和加密哈希上浪费时间,你不会得到任何的实际好处,而且你应该将**存储在硬件安全模块中。

程序员是如何处理密码的?

库与服务

你不应该在生产中使用自己编写的身份验证系统,而是应该使用现成的库和服务。但是你应该学习如何实现身份验证系统及其工作原理。

如果你是PHP开发人员,则可以使用内置的password_hash函数,若使用Halite则更佳。请确保你使用的PHP 7.2及更高的版本。请注意,PHP的默认密码哈希算法是Bcrypt。

使用Halite进行哈希处理,然后对你的密码进行加密。该库需要一个**来存储密码。 

PargonIE\Halite\Password::hash($_POST["password"], $encryptionKey);

可以考虑的第三方解决方案包括:

  • SimpleLogin

  • Okta

  • OpenID 

程序员是如何处理密码的?

使用合理的密码政策

  • 最大长度不少于128个字符。

  • 最小长度为12或16个字符。

  • 支持所有(至少支持绝大部分)的Unicode和空白。

  • 通过HIBP API拒绝已知密码。

  • 拒绝与标识符一致的密码,例如电子邮件、用户名。

  • 不要强制使用特殊字符、大写、小写、符号等。

  • 不要以任何方式截取、清理或格式化密码!

  • 不要阻止将密码复制并粘贴到密码字段中。

  • 不要限制密码字段中可以输入或不能输入的字符。

  • 不要频繁要求更改密码。

最重要的是密码本身的长度和信息量。请抑制你内心的渴望,不要强制执行上述任何密码策略,与其这样还不如实施因素身份验证,可以更好地保护用户的账号。

如果强制执行某个密码策略,那么用户可能会*写下密码,他们会忘记密码,会感到不厌其烦或选择保护度过弱的密码。如果你强制用户更改密码,他们也会将密码写下来。

正如@nylen指出的那样,密码和标识符之间应该保持莱文斯坦距离(Levenshtein距离),如果跨入危险距离内则拒绝密码。当然你应该设定合理的最小距离。

程序员是如何处理密码的?

鼓励用户使用良好的做法

鼓励用户使用diceware、passphrases、密码管理器(如BitWarden)和多因素身份验证(FIDO和TOTP协议)。

不鼓励用户使用姓名、日期、生日等个人信息作为密码,还要建议用户尽可能不要与他人共享密码。

程序员是如何处理密码的?

补充

  • 使用TLS 1.2及更高版本(SSL协议的后续版本)保护通信。否则,敏感信息(密码)会被公开,即便采用最新的哈希也无济于事。

  • 不要通过手机短信实现多因素身份验证!SIM卡交换诈骗和诈骗电话很容易获取验证码。

原文:https://dev.to/nathilia_pierce/how-to-process-passwords-as-a-software-developer-3dkh

本文为 CSDN 翻译,转载请注明来源出处。

【End】

程序员是如何处理密码的?

热 文 推 荐