.NET personnalisé MembershipProvider décrypter mot de passe

Question

J'utilise un membre personnalisé MemberShipProvider dans le projet aC# basé sur le code de: http://www.asp.net/learn/videos/video-189.aspx et pour une raison que je ne peux pas comprendre, la méthode qui décrypte le mot de passe de l'utilisateur pour valider la connexion donne 8 caractères supplémentaires devant la valeur du mot de passe (par exemple: Mot de passe).

J'utilise "crypté" passwordFormat et la méthode UnEncodePassword consiste à:

private string UnEncodePassword(string encodedPassword) 
{ 
    string password = encodedPassword; 
    password = Encoding.Unicode.GetString(DecryptPassword(Convert.FromBase64String(encodedPassword))); 

    return password; 
} 

Merci!

Answer 1

Trouvé! Je dois soustraire la variable de ma encodedPassword déchiffré sel 16 octets pour obtenir le mot de passe:

private string UnEncodePassword(string encodedPassword) 
{ 
    string password = encodedPassword; 
    byte[] bytesIn = Convert.FromBase64String(encodedPassword); 
    byte[] bytesRet = DecryptPassword(bytesIn); 
    password = System.Text.Encoding.Unicode.GetString(bytesRet, 16, bytesRet.Length - 16); 

    return password; 
} 

Merci Ian pour me donner la moindre idée de sel!

Answer 2

"Est-ce que le salt? (mis à jour)

Sur le serveur, dans un web.config ou autre vous avez une valeur de sel telle que "milkshake". Lorsque l'utilisateur donne un mot de passe comme "TheYard", vous ajoutez le sel et cryptez "milkshakeTheYard". Quand ils se connectent, vous ajoutez le sel à leur demande et le comparez à la chaîne cryptée.

Alors, quel est le point de sel? Si le mot de passe chiffré est tombé entre de mauvaises mains, "TheYard" étant seulement 7 caractères est facile à rechercher sur un Rainbow Table. En ajoutant du sel, vous rendez ce processus beaucoup plus difficile. Le sel à lui seul fournit peu de sécurité, mais utilisé en combinaison fournit une couche supplémentaire facilement impléméntée.

Answer 3

Vous ne devriez pas pouvoir déchiffrer le mot de passe. Vous devez crypter le mot de passe entré par l'utilisateur et le comparer au mot de passe crypté stocké. La récupération de mot de passe doit générer un mot de passe aléatoire à usage unique et obliger l'utilisateur à le modifier la première fois qu'il est utilisé.