AES_ENCRYPTの使い方は？

Question

ユーザーパスワードにAES暗号化（AES_ENCRYPT）を使用しようとしていますが、さまざまな問題が発生しました。

INSERT INTO user VALUES (
    '15', 
    'John', 
    'Doe', 
    '123 Fake St.', 
    AES_ENCRYPT('mypassword', 'mysalt'), 
    'mysalt' 
) 

塩は、実際のケースでは、ランダムな文字列を次のようになります。

これは、私は、データベースに新しいユーザーを保存するために使用するSQLクエリがあります。

正常に動作します。つまり、元のパスワードを取得できます。この例では、AES_DECRYPT(user.password, 'mysalt') WHERE user.id = 15はmypasswordを取得します。しかし、私はいくつかのことを見落としているかもしれません。

• パスワードと一緒に塩分を保存するのは安全ですか？ security through obscurity thingを除きます。

• ハッシュされたパスワードを保存するのに最適なフォーマットは何ですか？
  VARBINARYを使用していますが、格納されている文字列は8�p�����_�Z�\のように見えます。

• 最後に、パスワードはどれくらいの期間で、どれくらいの時間が塩であるべきですか？ の塩はどうですか？

おかげ

Answer 1

通常、パスワードを逆暗号化する必要はありません。その能力が本質的にシステムのセキュリティを低下させる。代わりに、不可逆的なハッシュ関数を使用してください。私も常にパスワード検証時に知られている他のデータに圧延することによって任意の使用であることからバルクrainbow tablesをイライラしている

SHA2 (CONCAT (user.name, user.password, 'some salt', user.id), 256) 

：私は、文字列の結果を生成するSHA-256（以上）を示唆しています。

SHA2には、MySQL 5.5以降が必要です。以前のバージョンを使用している場合は、SHA1()はMD5よりもはるかに優れ、一般的にほぼ同じくらい良いです、そして、AESなど

Answer 2

あなたは、データベース内のパスワードを暗号化しますが、データベース内のパスワードのプレゼンテーションを保存しないでください。

長らく説明するとthis questionを参照してください。

Answer 3

代わりに暗号化ハッシュのパスワードハッシュを使用することを検討してください。目標は異なっています。詳細はhttps://security.stackexchange.com/a/6415/25424を参照してください。 https://stackoverflow.com/a/6337021/516813に記載されているようなパスワードフレームワークは、塩漬けのような詳細をあなたのために扱います。