Il metodo più sicuro di Python per archiviare e recuperare password da un database

Question

Cercare di memorizzare nomi utente e password in un database e mi chiedo quale sia il modo più sicuro per farlo. So che devo usare un sale da qualche parte, ma non sono sicuro di come generarlo in modo sicuro o come applicarlo per crittografare la password. Alcuni esempi di codice Python sarebbero molto apprezzati. Grazie.

Answer 1

Memorizzare la password + sale come hash e sale. Dai un'occhiata a come Django lo fa: basic docs e source. Nel db memorizzano <type of hash>$<salt>$<hash> in un singolo campo char. È inoltre possibile memorizzare le tre parti in campi separati.

La funzione per impostare la password:

def set_password(self, raw_password): 
    import random 
    algo = 'sha1' 
    salt = get_hexdigest(algo, str(random.random()), str(random.random()))[:5] 
    hsh = get_hexdigest(algo, salt, raw_password) 
    self.password = '%s$%s$%s' % (algo, salt, hsh) 

Il get_hexdigest è solo un wrapper sottile attorno ad alcuni algoritmi di hashing. Puoi usare hashlib per questo. Qualcosa di simile hashlib.sha1('%s%s' % (salt, hash)).hexdigest()

E la funzione di verificare la password:

def check_password(raw_password, enc_password): 
    """ 
    Returns a boolean of whether the raw_password was correct. Handles 
    encryption formats behind the scenes. 
    """ 
    algo, salt, hsh = enc_password.split('$') 
    return hsh == get_hexdigest(algo, salt, raw_password) 

Answer 2

Se avete abbastanza controllo su entrambi gli endpoint della domanda, il modo migliore in assoluto sta usando PAK-Z+.

(A cura: la versione originale raccomandata SRP ma PAK-Z + ha una prova di sicurezza.)

Answer 3

penso che sia meglio usare un pacchetto dedicato a hashing delle password per questo passlib come: http://packages.python.org/passlib/ per ragioni I spiegato qui: https://stackoverflow.com/a/10948614/893857

Answer 4

Ecco un modo più semplice (tratto da effbot), fornito le password con una lunghezza superiore a 8 non sarà un problema *:

import crypt 

import random, string 

def getsalt(chars = string.letters + string.digits): 
    # generate a random 2-character 'salt' 
    return random.choice(chars) + random.choice(chars) 

per generare il Password:

crypt.crypt("password", getsalt()) 

*: Una password con una lunghezza superiore a 8 è spogliato da destra verso il basso per 8 caratteri lunghi

Answer 5

ho risposto questa qui: https://stackoverflow.com/a/18488878/1661689, e così ha fatto @Koffie.

Non so come sottolineare abbastanza che la risposta accettata NON è sicura. È meglio del semplice testo e migliore di un hash non salato, ma è comunque estremamente vulnerabile allo al dizionario e persino agli attacchi di forza bruta. Invece, si prega di utilizzare un KDF SLOW come bcrypt (o almeno PBKDF2 con 10.000 iterazioni)