Conversione di password normale in EF Asp.Net Identity PasswordHash

Question

Ho un progetto in cui è necessario migrare molti utenti che hanno la loro password in testo normale in un nuovo database dove inseriremo la password.

Il nuovo sistema utilizza Entity Framework e deve essere autenticato con il framework Asp.Net Identity.

Ho scoperto che posso generare in C# una password hash corretta che Entity Framework può leggere senza problemi.

public static string HashPassword(string password) 
    { 
     byte[] salt; 
     byte[] buffer2; 
     using (var bytes = new Rfc2898DeriveBytes(password, 0x10, 0x3e8)) 
     { 
      salt = bytes.Salt; 
      buffer2 = bytes.GetBytes(0x20); 
     } 
     byte[] dst = new byte[0x31]; 
     Buffer.BlockCopy(salt, 0, dst, 1, 0x10); 
     Buffer.BlockCopy(buffer2, 0, dst, 0x11, 0x20); 
     return Convert.ToBase64String(dst); 
    } 

C'è qualcosa di simile in SQL che ho potuto usare all'interno di istruzione INSERT formare una SELECT per l'altra tabella?

Answer 1

Non incorporato, l'hashing è intensivo di cpu e normalmente un'operazione che si vorrebbe evitare sul server DB, tuttavia mi rendo conto che la migrazione non è un'operazione normale. La soluzione dipende un po 'dal motivo per cui si desidera eseguire in SQL.

Se è a causa della semplicità vorrei guardare qualcosa di simile a questa domanda Is there a SQL implementation of PBKDF2?

Se è a causa di prestazioni vorrei prendere in considerazione solo la costruzione di un piccolo migratore .net e utilizzare rinfusa inserimento/aggiornamento. Ad esempio con https://github.com/MikaelEliasson/EntityFramework.Utilities#batch-update-entities è possibile leggere solo l'ID utente e la password di testo normale con una selezione. Inseriscilo in .net e quindi aggiorna il database in un'unica soluzione, probabilmente con oltre 100.000 aggiornamenti al secondo.

Ora due lievi avvertimenti Assicurati di non finire con password in chiaro nel log delle transazioni. Facilmente eseguendo l'hashing nel database di origine prima che finisca nel nuovo. Altrimenti è possibile cancellare il log delle transazioni dopo l'importazione iniziale How do you clear the SQL Server transaction log?

Invece di scrivere da soli il metodo di hashing, è possibile utilizzare PasswordHasher che è l'identità di Asp.net utilizzata per impostazione predefinita. A sua volta sta usando Rfc2898DeriveBytes. Vedere questa risposta https://stackoverflow.com/a/21496255/507279