3

вычитал в книге про одну компанию которая конкатенировала строку логина и пароля и получала хешкод вызовом этого метода, заносила его в куки что бы пометить авторизированных пользователей, но потом Microsoft поменяла алгоритм хеширования и многие пользователи не смогли получить доступ к своим учётным записям. Неужели в хотя бы в тысячи строк не найдётся две разные строки которые выдадут одинаковый хеш? Так же в книге говорилось что так делать не надо, подскажите алгоритм хеширования что бы в будущем я не писал такие методы авторизации.

4 ответа 4

4
  1. Никаких гарантий нет на то, что значения хешкода не поменяются между запусками приложения. Поэтому компания, которая на это рассчитывала, сама виновата в проблемах своих пользователей, нечего винить Microsoft. Хранить хешкод для использовании при следующем пробеге программы неверно, он имеет право поменяться.
  2. Разумеется, хешкоды разных строк с логином/паролем вполне могут совпадать! То, что на основе хешкода от логина/пароля была построена безопасность — ещё одна ошибка.
  3. Авторизация должна не быть основана на хешкоде. Объект, представляющий собой пользователя, нужно создавать на основе логина или на том, что в вашей системе уникально идентифицирует пользователя. Хешкод тут вовсе не при чём, он не идентифицирует пользователя.
2

В книге говорится правильно. Метод GetHashCode не предназначен для решения задач связанных с авторизацией. С его помощью осуществляется иднетификация объекта при проверке на равенство. Подробнее можете почитать на MSDN.

В подобных случаях лучше использовать из пространства имён System.Security.Cryptography. Например, тот же MD5.

5
  • А зачем md5, пардон? md5 — такой же хеш, он точно так же имеет право повторяться.
    – VladD
    31 авг 2015 в 18:59
  • 1
    Вот как раз повторяться он права не имеет. В .Net есть варианты - MD5, SHA (128/256/512) и т.д.
    – Walstper
    31 авг 2015 в 19:03
  • 1
    @VladD, в случае md5 гарантируется вероятность случайной коллизии в 2^-128, что очень мало. Но, разумеется, алгоритм md5 давно устарел, против него есть много атак. Сейчас актуален алгоритм SHA-3, также можно использовать (пока не взломан) SHA-512 (это модификация SHA-2). 31 авг 2015 в 19:05
  • 3
    @VladD, по поводу же того, зачем его использовать - тут все просто. Если вместо паролей хранить просоленные хеши - то даже имея на руках базу данных, злоумышленник не сможет авторизоваться от имени пользователя. Также такая мера спасет тех пользователей, кто использует одинаковые пароли к разным сервисам в случае взлома одного из сервисов. 31 авг 2015 в 19:06
  • 2
    @PavelMayorov: Вместо паролей — понимаю. Но чтобы идентифицировать экаунт — увольте, не понимаю.
    – VladD
    31 авг 2015 в 20:09
2

Суть алгоритма Хеширования и состоит в том, чтобы обеспечивать "лавинный эффект". Изменение хотя бы одного бита должно кардинально менять значение хэш-функции. Но есть коллизии т.е. совпадение результатов, когда они не должны совпадать. Тщательно выбирать саму хэшфункцию не имеет особого смысла. Просто не применяйте подобный паттерн, это bad practice. Прислушайтесь к ответу @VladD и @Streletz.

0

Хеш в куках иногда хранят для локального разделения пользовательских сессий между собой (хотя это не имеет прямого отношения к авторизации). Например, когда нужно предоставить пользователю возможность запускать одно и то же веб-приложение одновременно в нескольких окнах браузера. Чтобы каждый экземпляр веб-приложения использовал только свой кук, каждый кук маркируют уникальным идентификатором на основе хеша. Вероятность их повторения в период сеанса работы стремится к нулю. С появлением локальных хранилищ (DOM) у браузеров этот метод стал менее популярным.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.