SQL Serverでパスワードの検証を行う方法は？

Question

私は、SQL Serverでaes_256アルゴリズムを使用して自分のパスワードフィールドを暗号化しました。パスワードフィールドが暗号化されました。これで、ユーザーにログインし、サーバー上で検証プロセスを実行する必要があります。 私は検証プロセスのために書いたコードは次のとおりです。

CREATE PROCEDURE Procedure_UserLogin 
    @username varchar(50), 
    @pwd varchar(50), 
    @responseMessage INT OUTPUT 
AS 
BEGIN 
    SET NOCOUNT ON 

    DECLARE @userID INT 

    IF EXISTS(SELECT TOP 1 username FROM userInfo WHERE username=@username) 
    BEGIN 
     open symmetric key key1 
     decryption by certificate namecert 
     SET @userID=(SELECT username FROM userInfo WHERE username=@username AND encryptedpwd=(ENCRYPTBYKEY(KEY_GUID('key1'),@pwd))) 
     IF (@userID IS NULL) 
      SET @responseMessage=0 /*INAVLID PASSWORD*/ 
     ELSE 
      SET @responseMessage=1 /*VALID USERNAME AND PASSWORD*/ 
    END 
    ELSE 
     SET @responseMessage=2 /*INVALID USERNAME*/ 
END 

しかし、応答は常に0である私がやっている何の間違いを教えてください？

Answer 1

短い答えは、ENCRYPTBYKEYが毎回異なる結果を出力し、テーブルに格納された暗号化された値が一定であるためです。

下記のスクリプトを実行して実際の動作を確認してください。

出力は10種類あります。しかし、encryptedpwdの表に対してSELECTステートメントを実行すると、毎回出力が同じになります。そのため、入力が正しい場合でも、スクリプトがユーザー入力を正しく認証することはできません。

さて、あなたは正しい、このような何かにこのライン

encryptedpwd=(ENCRYPTBYKEY(KEY_GUID('key1'),@pwd))) 

を変更するので考えるかもしれないことに基づいて？

DECRYPTBYKEY(KEY_GUID('key1'),encryptedpwd)) = @pwd 

あまり速くない。その理由は、DECRYPTBYKEYとENCRYPTBYKEYの両方がVARBINARY(8000)を返しますが、ユーザー入力@pwdはVARCHAR(50)です。したがって、入力のデータ型に一致するように出力を変換することなく、それらは常に異なっています。

CONVERT(VARCHAR,DECRYPTBYKEY(KEY_GUID('key1'),encryptedpwd))) = @pwd 

最後に、CLOSE SYMMETRIC KEY上のBOLは

オープン対称鍵がないセキュリティコンテキストにセッションにバインドされていると言います。オープンキーは、明示的にクローズされるかセッションが終了するまで、引き続き使用可能になります。

したがって、最後に明示的にキーを閉じることをお勧めします。

CLOSE SYMMETRIC KEY KEY1 

Answer 2

パスワードの検証をデータベースに委任することはできません。パスワードは、ハッシュで、BCrypt、PBKDF2、またはSCryptなどのアルゴリズムは遅く、通常これらのアルゴリズムはデータベースシステムでサポートされていません。塩漬けは必須で、特定のパスワードハッシュを検索することはできません。

// Get password-hash by user id 
SELECT hashedpwd FROM userInfo WHERE username=@username 

// Verify the password within your application, which supports a safe algorithm 
// like BCrypt, PBKDF2 or SCrypt. 
// Take the salt from $existingHashFromDb or from a separate db-field. 
$isPasswordCorrect = password_verify($password, $existingHashFromDb);