在舊版SQL Server數據庫中加密密碼字段的簡單方法

Question

我們有一個遺留應用程序，用於將用戶密碼存儲在未加密的數據庫中。 我們現在有很多客戶登機，加密這個密碼對他們來說是個大問題（足夠公平）。 目前，它只是SQL Server數據庫表中的Nvarchar（100）字段。

情況是我們有多個客戶端應用程序訪問此數據庫並驗證此密碼。

只想獲得有關如何在數據庫中對此字段實現加密的建議，而無需重寫所有讀取它的客戶端應用程序？ 改變客戶端應用程序並不是不可能的，但我們正試圖盡可能少地擺脫困境。

有任何想法嗎？

Answer 1

不要這樣做 ，存儲密碼的鹽漬，迭代HMAC。 使用像Bcrypt，password_hash，PBKDF2或類似的東西。

如果HMAC沒有被鹽漬和迭代，那是不夠的。 簡單地在沒有鹽析的情況下進行散列會使散列密碼對彩虹表攻擊開放。

現在轉換現有密碼。