Asp.net身份哈希是否安全嗎？

Question

我在以下網址中引用了Rijndael和Asp.net哈希實現的以下站點。

1. Rijndael- 如何使用密碼生成Rijndael KEY和IV？
2. ASP.NET哈希-ASP.NET身份默認密碼哈希器，它如何工作且安全？

在這兩種實現方式中，以下內容均用於獲取密碼的隨機字節。 里恩·代爾

Rfc2898DeriveBytes pdb = new Rfc2898DeriveBytes(password, SALT);

Asp.net身份哈希

Rfc2898DeriveBytes bytes = new Rfc2898DeriveBytes(providedPassword, salt, HasingIterationsCount)

在上面的代碼之后，RijnDael對返回的字節應用加密。 但是，asp.net身份使用鹽字節數組復制結果，並返回哈希鍵。

在這里，我感到困惑。 RijnDael和Asp.net身份哈希使用相同的Rfc2898DeriveBytes 。

當RijnDael可以解密加密的密鑰（在Rfc2898DeriveBytes的幫助下完成）時，為什么我們可以解密Asp.net Identity哈希密鑰呢？

有可能這樣做嗎？ Asp.net身份安全嗎？

Answer 1

是的，ASP.NET的密碼哈希方法是安全的。

在您提供的示例中，用戶正在使用一種稱為高級加密標准 （AES，也稱為Rijndael）的加密技術。 這就是可以解密機密的原因。

用戶僅使用Rfc2898DeriveBytes類以獲得密鑰和初始化向量 。

該類不用於散列秘密消息。 加密是隱藏消息的原因。

ASP.NET使用Rfc2898DeriveBytes類對密碼進行哈希處理。 此過程不可逆。