在表中存儲密碼和摘要身份驗證

Question

如何在表中存儲 web 站點用戶密碼的主題已在 SO 上多次出現，一般建議是存儲密碼的 hash，最終是 HMAC hash。這適用於基本身份驗證或基於 forms 的身份驗證（真的同一件事情）。 我的問題是我還必須提供摘要身份驗證，以連接到我的服務的自動化工具為目標。 我一直在研究這個問題，正如我所見，我唯一可以存儲的 hash是 Digest 的 HA1 部分： username: realm: password的 hash。 這樣我就可以驗證 Basic/forms 和 Digest。

我的問題是這樣做沒有任何好處。 現在確實，如果攻擊者掌握了我的密碼表（因為他只有散列值並且他需要發送明文密碼），他就不能使用基於基本或 forms 的身份驗證，但是沒有什么能阻止他使用摘要式身份驗證並給出有效響應對我的服務挑戰：他只是從表中預先計算的 HA1 開始，然后從那里繼續制作響應（即，我會做同樣的事情來驗證后端的用戶）。

我錯過了什么嗎？ 添加摘要要求是否基本上使散列密碼的存儲成為安全 pov 的無操作，充其量是一種混淆？

Answer 1

我使用預先計算的哈希值的原因不是為了防止攻擊，而是為了保護用戶隱私。

攻擊者確實可以進行身份驗證，但他不能（輕易地）看到我寶貴用戶的密碼並破壞他們正在使用的其他服務等。