ASP.NET MVC - 将zetetic安全性与NHibernate成员提供者集成

Question

zetetic有一个非常好的加密库，它包含对bcrypt2的支持。它看起来应该足够简单，可以合并到ASP.NET成员资格提供程序中（实际上，可以找到有关默认提供程序的说明here）。我正在使用NHibernate成员资格提供程序（发现here）似乎在其EncodePassword函数中硬编码SHA1哈希格式。我的问题是，这应该如何适应与BCrypt2（特别是Zetetic的包装）。这是我非常害怕出错的原因，我不愿意自己刺伤它，以免它“应用”，但却有一些我没有资格找到的隐藏缺陷。

private string EncodePassword(string password) 
     { 
      string encodedPassword = password; 

      switch (PasswordFormat) 
      { 
       case MembershipPasswordFormat.Clear: 
        break; 
       case MembershipPasswordFormat.Encrypted: 
        encodedPassword = 
         Convert.ToBase64String(EncryptPassword(Encoding.Unicode.GetBytes(password))); 
        break; 
       case MembershipPasswordFormat.Hashed: 
        HMACSHA1 hash = new HMACSHA1(); 
        hash.Key = HexToByte(_machineKey.ValidationKey); 
        encodedPassword = 
         Convert.ToBase64String(hash.ComputeHash(Encoding.Unicode.GetBytes(password))); 
        break; 
       default: 
        throw new ProviderException("Unsupported password format."); 
      } 

      return encodedPassword; 
     } 

Answer 1

您是在修改基于NHibernate的成员资格提供程序，还是坚持使用它开箱即用？如果是后者，它看起来没有任何可扩展性。

的ASP.NET SqlMembershipProvider的工作原理是接受散列算法的名称，使人联想经由HashAlgorithm.Create(name)一个实例，并然后行为有点不同，如果该算法类型被证明是一个KeyedHashAlgorithm或常规（非键控）的HashAlgorithm。 Zetetic.Security软件包只是提供一点粘合剂，使BCrypt和PBKDF2与该模型兼容。

来自NHMembershipProvider的示例代码无法利用此优势，因为它直接依赖于HMACSHA1。我会注意到，HMACSHA1不是一个安全的算法，也不是为所有可接受的用户使用静态盐（它几乎不比盐好）。应用程序ValidationKey和HMACSHA1仅用于消息完整性。

这里有一个例子：

public class HashDemo 
{ 
    private static readonly RNGCryptoServiceProvider s_rng = new RNGCryptoServiceProvider(); 

    public string HashPassword(string pwd, string hashName) 
    { 
     var alg = HashAlgorithm.Create(hashName); 

     if (alg == null) 
      throw new ArgumentException("Invalid hash name", "hashName"); 

     byte[] tohash = System.Text.Encoding.UTF8.GetBytes(pwd); 

     var ka = alg as KeyedHashAlgorithm; 

     if (ka != null) 
     { 
      if (ka.Key == null || ka.Key.Length == 0) 
      { 
       byte[] key = new byte[20]; 

       s_rng.GetBytes(key); 

       ka.Key = key; 
      } 
      else 
      { 
       s_rng.GetBytes(ka.Key); 
      } 
      // TODO: return base64(ka.Key || alg.ComputeHash(tohash)) 
     } 
     else 
     { 
      var salt = new byte[20]; 

      s_rng.GetBytes(salt); 

      using (var ms = new System.IO.MemoryStream(salt)) 
      { 
       ms.Write(tohash, 0, tohash.Length); 

       tohash = ms.ToArray(); 
      } 
      // TODO: return base64(salt || alg.ComputeHash(tohash)) 
     } 
    } 
}