0

Есть метод который принимает пароль и возвращает его уже захешированным в MD5. Поначалу я использовал не SecureString а просто string в которую записывал Password взятый из контролла и проблем не было. Сейчас прочел что при таком подходе строка храниться в памяти процессора, поэтому рекомендуется использовать SecurePassword и передавать на сервер так. Собственно теперь из за этого возникает ошибка :

Ошибка CS1503 Аргумент 1: не удается преобразовать из "SecureString" в "char[]".

    internal static string GetHash(System.Security.SecureString passHASH) //тут
    {
        MD5 md5Hasher = MD5.Create();
        byte[] data = md5Hasher.ComputeHash(Encoding.Default.GetBytes(passHASH));
        StringBuilder sBuilder = new StringBuilder();
        for (int i = 0; i < data.Length; i++)
        {
            sBuilder.Append(data[i].ToString("x2"));
        }
        return sBuilder.ToString();
    }

Можно конечно написать так

  byte[] data = md5Hasher.ComputeHash(Encoding.Default.GetBytes(passHASH.ToString()));

Но не пофиксит ли это использование SecureString ?

4
  • Что значит пофиксит ли это использование? Да и не получите вы значение из SecureString простым SecureString.ToString().
    – MihailPw
    25 мая 2017 в 11:28
  • 1
    Значит - не будут ли потеряны выигрыши в безопасности от использования SecureString при переводе passHASH в обычную string ? потому что SecureString в MD5 не хешируется. 25 мая 2017 в 11:37
  • Если у Вас есть контрол, в который вводится пароль и у него есть явный string с содержимым, то Ваше изменение string => secureString защиту не повысит. И, если уж, действительно волноваться за защиту, то MD5 для хеша пароля ни как не годится.
    – eblomyac
    25 мая 2017 в 11:46
  • @eblomyac я использую PasswordBox у которого есть 2 свойства - Password и SecurePassword. Я хочу понять какой вариант лучше и если второй то как получить хеш от SecurePassword ? 25 мая 2017 в 11:50

1 ответ 1

0

Переводите в обычную строку

public static string convertToUNSecureString(SecureString secstrPassword)
{
    IntPtr unmanagedString = IntPtr.Zero;
    try
    {
        unmanagedString = Marshal.SecureStringToGlobalAllocUnicode(secstrPassword);
        return Marshal.PtrToStringUni(unmanagedString);
    }
    finally
    {
        Marshal.ZeroFreeGlobalAllocUnicode(unmanagedString);
    }
}

А потом считаете хэш, но если у вас исходно есть обычная строка, то лучше вычислить с начала хэш, а потом конвертировать в SecureString.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.