对用户密码进行加盐处理(转)
2014-07-09 14:14
288 查看
对用户密码进行加盐处理
按:以下还是炒冷饭,如果您对加盐了解就不用往下看了,以免浪费宝贵时间。
如果不了解下文部分细节的话,您可以参考这篇文章:使用MD5对存放在数据库中用户密码进行保护
直接对重要数据进行MD5处理后,反向解密确实难度很大,但还是可以找出破绽的,请看下图:
如果名为李自成的用户可以查看数据库,那么他可以观察到自己的密码和别人的密码加密后的结果都是一样,那么,别人用的和自己就是同一个密码,这样,就可以利用别人的身份登录了。
那么我们以前的加密方法是否对这种行为失效了呢?其实只要稍微混淆一下就能防范住了,这在加密术语中称为“加盐”。具体来说就是在原有材料(用户自定义密
码)中加入其它成分(一般是用户自有且不变的因素),以此来增加系统复杂度。当这种盐和用户密码相结合后,再通过摘要处理,就能得到隐蔽性更强的摘要值。
下面请见代码:
// 对密码进行加盐后加密,加密后再通过Hibernate往数据库里存
String changedPswd=DigestUtils.md5Hex(name+pswd);
就是这样简单,上面代码中盐就是用户名,可以的话还可以用用户注册时的邮件,注册时间等非空信息(如果是空信息这个加盐处理会失效)。
下面是数据库中两个用户的记录,他们的实际登录密码都是123456,但光看用户记录是完全看不出来的。这下别有用心的人打开数据库看到的密码都完全不一样,他以前的手段就失效了。
加盐就是这样简单,感谢您看到这里。
转自: http://www.blogjava.net/heyang/archive/2010/11/28/339233.html
按:以下还是炒冷饭,如果您对加盐了解就不用往下看了,以免浪费宝贵时间。
如果不了解下文部分细节的话,您可以参考这篇文章:使用MD5对存放在数据库中用户密码进行保护
直接对重要数据进行MD5处理后,反向解密确实难度很大,但还是可以找出破绽的,请看下图:
如果名为李自成的用户可以查看数据库,那么他可以观察到自己的密码和别人的密码加密后的结果都是一样,那么,别人用的和自己就是同一个密码,这样,就可以利用别人的身份登录了。
那么我们以前的加密方法是否对这种行为失效了呢?其实只要稍微混淆一下就能防范住了,这在加密术语中称为“加盐”。具体来说就是在原有材料(用户自定义密
码)中加入其它成分(一般是用户自有且不变的因素),以此来增加系统复杂度。当这种盐和用户密码相结合后,再通过摘要处理,就能得到隐蔽性更强的摘要值。
下面请见代码:
// 对密码进行加盐后加密,加密后再通过Hibernate往数据库里存
String changedPswd=DigestUtils.md5Hex(name+pswd);
就是这样简单,上面代码中盐就是用户名,可以的话还可以用用户注册时的邮件,注册时间等非空信息(如果是空信息这个加盐处理会失效)。
下面是数据库中两个用户的记录,他们的实际登录密码都是123456,但光看用户记录是完全看不出来的。这下别有用心的人打开数据库看到的密码都完全不一样,他以前的手段就失效了。
加盐就是这样简单,感谢您看到这里。
转自: http://www.blogjava.net/heyang/archive/2010/11/28/339233.html
相关文章推荐
- 对用户密码进行加盐处理
- 对用户密码进行加盐处理
- 对用户密码进行加盐处理
- 对用户密码进行加盐处理
- 对用户密码进行加盐处理
- 使用hashlib库对用户密码进行加密处理
- 用户登录模块进行必要的安全处理(MD5加密、加盐和传输过程加密)
- ssh普通用户进行无密码登陆
- QuickCSharp框架开发(18)------加密用户名和密码数据与数据库读出的密码进行哈希比较(验证用户是否成功登录)
- 如何处理用户信息中的密码问题
- 丢失sys用户密码的处理办法
- CentOS的用户密码丢失如何处理
- 数据库用户修改密码后,SDE服务无法启动的处理过程
- MySQL根用户root密码忘记后的处理方法
- 将用户密码进行统计
- MySQL根用户root密码忘记后的处理方法
- 将moodle用户admin的密码修改为abc123(moodle密码忘记后的处理方法)
- AIX root用户密码遗忘的处理
- 关于linux的root用户密码忘记处理成绩
- Linux 下 Oracle 用户的密码包含特殊字符时给 sqlplus 和 imp/exp 传递密码参数的处理