ユーザーが当社のサイト上で自分自身を登録すると、安全な方法

Question

にユーザーからのパスワード・トポロジーの収集、我々はいくつかの明確に定義されたセキュリティ標準に従ってください：

• 塩
• ハッシュ（塩+パスワード）
を生成
• ハッシュされたパスワードと塩をDBに格納する

最近、ホットトピックは「パスワードトポロジ」です。たとえば、ユーザーがUllllldd（大文字、小文字の5倍、2桁）のようなパスワードを生成しないようにする必要があります。なぜなら、攻撃者がそのトポロジに集中すれば、サイトで使用されている最も一般的なトポロジに関する情報を生成したいと考えています。当然のことながら、ハッシュされたパスワード情報をDB内で使用することはできません。そのハッシュからパスワード情報を復元することはできません。新しいユーザーが登録するたびに、トポロジテーブルがいっぱいになるという考えがありました。

ユーザー "joe"はパスワード "pass"で登録します。トポロジ「uuuu」がすでに存在するかどうかを確認します。そうでない場合は、count = 1のデータベーステーブルに追加してください。カウントが1の場合、カウントが1増加します。これはもちろん危険です。データベースが侵害された場合、攻撃者は突然最も一般的なトポロジーを知ります。

私の質問は、新しいセキュリティリスクを作成せずにパスワードトポロジ情報を収集して保存する方法です。

Answer 1

データベースは、トポロジに添付されたユーザーIDを格納せずに、使用された各トポロジの数である必要があります。 2番目の表では、このデータベースに表示されているユーザーIDを保管します。

このトリックは、データベースを作成して更新することによって行われます。ユーザーがパスワードを変更したときに、パスワードトポロジの情報を収集して保存します。パスワード。ここでは、古いトポロジと新しいトポロジを計算し、カウントを減らしたり増やしたりすることができます。ユーザーがデータベースに表示されていない場合は、追加して、単純に新しいトポロジをカウントに追加します。