安全密码方法

Question

为了登录目的，我必须创建一个带有用户表的休息服务器。移动设备将连接到此服务器以供用户登录。 我想创建一个安全的系统，我想到了这个解决方案：

用户表：

• PasswordHash - CHAR(64) 用于存储 SHA256（密码）
• PasswordToken - CHAR(25) 用于存储随机可能唯一的令牌

用户注册：

• 设备会生成用户提供的密码的SHA256；

• 哈希将通过SSL发送到服务器；

• 服务器会将此哈希值存储在PasswordHash字段中，并将随机令牌存储在PasswordToken字段中；

用户登录：

• 设备会生成用户提供的密码的SHA256[passwordDevice]；
• 服务器会生成一个 SHA512 的 (PasswordHash + PasswordToken) [hashServer]；
• 服务器将生成 (passwordDevice + PasswordToken) [hashDevice] 的 SHA512；
• 服务器会生成一个 BCrypt 字符串 (hashServer + serverSideKey) [bCryptServer];

• 服务器会生成一个BCrypt String of (hashDevice + serverSideKey) [bCryptDevice];

  if (bCryptServer == bCryptDevice) 
     LOGIN OK;
  else
     LOGIN REFUSED;
  

那么，这种方法合适吗？

安全吗？

我可以避免一些操作吗？

我可以优化一些东西吗？

提前致谢。

Answer 1

不，不要那样做。

永远不要传递哈希。哈希必须在服务器上计算。否则它只是一个密码。

仅使用加密哈希。 SHA256 不是一个。使用 bcrypt、scrypt 或 pbkdf2。

它需要尽可能简单，这样你就不会犯错误，而你却让它变得复杂。