加密和散列之间的区别

Question

在我们的项目中，有几个地方可以通过散列获得。例如，我们在许可证和数据库中的许可对象之间存储加密引用以及未加密的引用。这是为了确保用户不能通过使用数据库来更改他们已获得许可的实体。

我们在任何地方使用加密的主要原因是我们已经有一个很好的加密库和一个系统密钥。除此之外，开发哈希库似乎并不值得。

我们使用加密而不是散列来创建安全风险吗？

Answer 1

通过将纯文本和密文一起存储，您正在创建一个很好的测试字符串存储库，如果有人想要找出您的密钥。由于你显然使用说密钥加密一切我会说它是一个风险。

请记住，中央数据库的好处是有一天有人会获取数据。如果历史至少是任何教训。

Answer 2

那么，加密是一个双向的过程。假设您正在使用基于密钥的加密，只要加密密钥是安全的并且您使用现代算法（如AES）就可以保证安全。相反，散列是一种单向过程，实际上不可能从散列值重构散列输入。所以，没有密钥，散列可能被认为是更安全的。它也可能不那么计算饥饿。

Answer 3

任何可以加密的数据也可以解密。

散列是一种单向过程，特别是如果您使用新的SHA2方法。

Answer 4

你已经将密钥的保密性作为一个弱点介绍了，我认为这是一种风险，虽然测量严重性需要更多的细节。

另一方面，散列将完全依赖于查找冲突的难度，这可能比保留关键秘密更安全。

Answer 5

根据我的理解，您希望实现数据的完整性（即您希望实现没有人会改变数据的未被注意的数据）。这可以通过使用数字签名（例如RSA，DSA）或MAC（消息认证码）来实现。 mac是数字签名的对称等价物，通常是不对称的方案。

所以在你的情况下，MAC（例如HMAC）应该是一个不错的选择！

Answer 6

如果它是一个对称密码，并且系统部署在“敌对”环境中，那么在激励的个人可以隔离密钥并签署他们自己的（或其他）许可证之前，这是一个时间问题。数据。

在这些情况下，您需要使用不对称密码来用您的私钥“签名”许可证，该密钥可以安全地存储在电脑中的保险库中，并且与外界无关。好的，只是在一个安全的环境中进行了一些小改变。

在这种情况下，纯哈希将无法帮助，因为它们可用于签署伪造的许可证。如果您想确保只有您可以批准许可证更改，那么使用不对称密码来加密许可证（或许可证的散列）是最直接的方法。