.NET 해싱 알고리즘 중 암호 해시가 안전 할만큼 안전한 해싱 알고리즘은 무엇입니까?

Question

password leak of LinkedIn은 안전하게 암호를 해시하는 것이 얼마나 중요한지를 입증했습니다. 그러나 해시가 초당 2300 만 건의 해시 (무차별 대입)를 계산할 수있는 속도에 최적화되어 있기 때문에 소금을 사용하여 암호를 해싱하는 것조차도 '일반'해싱 알고리즘 (MD5 및 SHA 제품군)으로 보안되지 않습니다.

PBKDF2, Bcrypt, PBMAC 및 scrypt과 같이 훨씬 더 계산 집약적이므로 해싱 알고리즘이 사용하기에 안전합니다. 그러나 이러한 해시 알고리즘은 .NET Framework에 포함되어 있지 않은 것 같습니다.

.NET Framework에는 성능 집중적 인 해싱 알고리즘이 포함되어 있습니까?

대답 : PBKDF2는 프레임 워크와 this site shows how to use it properly에 포함됩니다.

Answer 1

저는 이것이 실제로 의미있는 클래스 이름이 아니지만 .NET Framework에 포함되어 있다고 생각합니다. 여러 출처에 따르면 Rfc2898DeriveBytes은 실제로 PBKDF2 구현입니다. MSDN도 그렇게 말합니다.

는 Why do I need to use the Rfc2898DeriveBytes class (in .NET) instead of directly using the password as a key or IV? 예를 들면 PBKDF2 implementation in C# with Rfc2898DeriveBytes

를 참조하십시오.

Answer 2

해시 알고리즘이 100 % 안전합니다. linkedin 해킹은 해시 알고리즘보다 인프라/코드 보안으로 인해 더 많이 발생했습니다. 모든 해시를 계산할 수 있으며, 해싱 알고리즘이 복잡할수록 시간이 오래 걸립니다. 충돌 공격과 같은 일부 공격은 실제로는 더 복잡한 해시에서 수행하는 것이 훨씬 느립니다.

나는 암호를 해시하고 (암호화하지 않고) 항상 서버에 대한 액세스를 제한합니다. 모든 개발자는 적어도 보안 (SQL 주입, 오버 플로우 등)의 기초를 이해하고 내가 작업하는 중요한 프로필 사이트는 펜 테스트를 거쳤습니다.

Answer 3

도있다 :

http://bcrypt.codeplex.com/ (bcrypt)

http://www.zer7.com/software.php?page=cryptsharp (scrypt 등)