在将密码插入数据库之前是否需要加密密码？答案

【问题标题】：Is it necessary to encrypt passwords before inserting them into a database?在将密码插入数据库之前是否需要加密密码？
【发布时间】：2015-10-24 18:48:54
【问题描述】：

首先说明一下，我是一名Coldfusion服务器端开发人员，多年来一直尽职尽责地对登录密码进行加密。

我最近开始更仔细地考虑使用 bCrypt() 等库对密码进行散列或加密的要点。黑客经常使用 SQL 注入来获取敏感数据，如银行账户详细信息、NI 号码和信用卡/借记卡号码。考虑到如今单个信用卡号的售价相对较低，我非常怀疑黑客是否会费心出售密码。

所以，我的问题是：

首先加密登录密码实际上有什么意义吗？

【问题讨论】：

当然是必须的。您应该对您的用户负责，如果您的数据库遭到破坏，他们的密码将无法在其他服务上用于访问他们。
但这假设用户对其他帐户使用相同的密码。黑客不会花时间登录其他帐户。他们将进行 SQL 注入，直到他们直接在数据库中找到银行详细信息。
实际上，我认为加密密码不是一个好主意。加密意味着可逆性。是一个好主意是用足够大的随机盐（您也记录）反复对它们进行散列。散列的周期数可能非常大（例如 1024 或更多）。关于这个话题还有很多其他问题。另请参阅[加密/哈希数据库中的纯文本密码]（stackoverflow.com/questions/287517 和 Difference between hashing a password and encrypting it，这些只是来自相关问题。
我投票决定将此问题作为题外话结束，因为它已在Information Security 上进行了详细讨论：What is a good analogy to explain to a layman why passwords should be hashed?、Why is password hashing considered so important?、Why should I hash passwords?、For what do I hash user passwords with PDKDF2 when the user...
我其实用的是bCrypt，不能解密。它使用机器时间戳将盐存储在其哈希中：mindrot.org/projects/jBCrypt

【解决方案1】：

是的！非常重要的是，如果您的用户在多个站点之间共享他们的密码怎么办。现在，黑客可以访问他们的银行帐户、电子邮件等。作为开发人员/程序员，为您的用户提供安全可靠的体验是您的道德责任。

【讨论】：

如果我们孤立地举这个例子。大多数黑客使用 SQL 注入来访问敏感的数据库值。一旦成功，黑客甚至不会费心查看密码数据。直接到信用卡信息，必须加密，最好在单独的数据库中使用盐。
我怀疑在数据库中找到您的信用卡详细信息的黑客会在他需要的信息已经可用的情况下尝试登录其他帐户。
您应该尽可能地保护您的数据。您应该防止代码中的注入攻击和加密密码，如果您必须存储信用卡信息，则应该对其进行加密，并且应该隔离密钥/盐。您应该使用某种令牌库服务并尽可能遵循 PCI。您可能还想查看owasp.org/index.php/Main_Page。
我绝对同意信用卡数据必须加密，salt 单独存储。但我仍然不相信加密登录密码有什么真正的好处。我将继续加密密码，因为法律规定我必须这样做。使用 SQL 注入的坚定黑客只会通过出售信用卡/借记卡数据来赚取任何真钱。
事实上，我不再存储客户的信用卡数据。风险太大了。