3

вычитал в книге про одну компанию которая конкатенировала строку логина и пароля и получала хешкод вызовом этого метода, заносила его в куки что бы пометить авторизированных пользователей, но потом Microsoft поменяла алгоритм хеширования и многие пользователи не смогли получить доступ к своим учётным записям. Неужели в хотя бы в тысячи строк не найдётся две разные строки которые выдадут одинаковый хеш? Так же в книге говорилось что так делать не надо, подскажите алгоритм хеширования что бы в будущем я не писал такие методы авторизации.

4 ответа 4

4
  1. Никаких гарантий нет на то, что значения хешкода не поменяются между запусками приложения. Поэтому компания, которая на это рассчитывала, сама виновата в проблемах своих пользователей, нечего винить Microsoft. Хранить хешкод для использовании при следующем пробеге программы неверно, он имеет право поменяться.
  2. Разумеется, хешкоды разных строк с логином/паролем вполне могут совпадать! То, что на основе хешкода от логина/пароля была построена безопасность — ещё одна ошибка.
  3. Авторизация должна не быть основана на хешкоде. Объект, представляющий собой пользователя, нужно создавать на основе логина или на том, что в вашей системе уникально идентифицирует пользователя. Хешкод тут вовсе не при чём, он не идентифицирует пользователя.
2

В книге говорится правильно. Метод GetHashCode не предназначен для решения задач связанных с авторизацией. С его помощью осуществляется иднетификация объекта при проверке на равенство. Подробнее можете почитать на MSDN.

В подобных случаях лучше использовать из пространства имён System.Security.Cryptography. Например, тот же MD5.

5
  • А зачем md5, пардон? md5 — такой же хеш, он точно так же имеет право повторяться.
    – VladD
    Commented 31 авг. 2015 в 18:59
  • 1
    Вот как раз повторяться он права не имеет. В .Net есть варианты - MD5, SHA (128/256/512) и т.д.
    – Walstper
    Commented 31 авг. 2015 в 19:03
  • 1
    @VladD, в случае md5 гарантируется вероятность случайной коллизии в 2^-128, что очень мало. Но, разумеется, алгоритм md5 давно устарел, против него есть много атак. Сейчас актуален алгоритм SHA-3, также можно использовать (пока не взломан) SHA-512 (это модификация SHA-2). Commented 31 авг. 2015 в 19:05
  • 3
    @VladD, по поводу же того, зачем его использовать - тут все просто. Если вместо паролей хранить просоленные хеши - то даже имея на руках базу данных, злоумышленник не сможет авторизоваться от имени пользователя. Также такая мера спасет тех пользователей, кто использует одинаковые пароли к разным сервисам в случае взлома одного из сервисов. Commented 31 авг. 2015 в 19:06
  • 2
    @PavelMayorov: Вместо паролей — понимаю. Но чтобы идентифицировать экаунт — увольте, не понимаю.
    – VladD
    Commented 31 авг. 2015 в 20:09
2

Суть алгоритма Хеширования и состоит в том, чтобы обеспечивать "лавинный эффект". Изменение хотя бы одного бита должно кардинально менять значение хэш-функции. Но есть коллизии т.е. совпадение результатов, когда они не должны совпадать. Тщательно выбирать саму хэшфункцию не имеет особого смысла. Просто не применяйте подобный паттерн, это bad practice. Прислушайтесь к ответу @VladD и @Streletz.

0

Хеш в куках иногда хранят для локального разделения пользовательских сессий между собой (хотя это не имеет прямого отношения к авторизации). Например, когда нужно предоставить пользователю возможность запускать одно и то же веб-приложение одновременно в нескольких окнах браузера. Чтобы каждый экземпляр веб-приложения использовал только свой кук, каждый кук маркируют уникальным идентификатором на основе хеша. Вероятность их повторения в период сеанса работы стремится к нулю. С появлением локальных хранилищ (DOM) у браузеров этот метод стал менее популярным.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.