對於Asp.Net成員資格提供程序，PasswordFormat.Encrypted是否安全？

Question

我正在網站上使用會員資格提供程序，並且多年來效果很好。 今天，我重新訪問了該網站，現在擔心密碼格式選項。 我需要用戶重置密碼的能力，但是現在我們不需要密碼檢索，盡管在重置之前我們需要安全性問答。 以下是一些我正在使用的提供程序設置。

enablePasswordRetrieval =“ true” enablePasswordReset =“ true” passwordFormat =“已加密”

我主要關心的是passwordFormat =“ Encrypted”的安全性。 PasswordFormat =“ Hashed”看起來要緊得多，但是數據庫中有很多帳戶，我不確定該如何轉換。

是否可以在游戲后期進行轉換？ 如果不是，我的網站安全嗎？

Answer 1

是否可以在游戲后期進行轉換？

加密密碼格式使用可逆加密，因此有一種方法。 也許會有所幫助： 將passwordFormat從“加密”更改為“哈希”

如果不是，我的網站安全嗎？

使用哈希密碼保護的安全性在於它使用“單向”算法。 沒有逆轉數據加擾的鍵，只有確定提供的數據（密碼）是否與哈希數據匹配的方法。

因此，使用可逆加密，您的密碼僅與您使用的加密密鑰一樣安全。 如果將機器密鑰存儲在配置中，並且使用受保護的配置，則安全性將取決於Web服務器本地保存的服務器的PKI證書私鑰。 如果您擔心服務器的暴露情況，則可能需要更改密碼格式。 由你決定。