ハッシュされたパスワードとsaltとの比較は常に失敗します

Question

パスワードのハッシュと塩について複数の質問がありましたが、すべて失敗するようです。私は/塩、それをハッシュするためにこの機能を使用して、データベースにそれを置く：

public string HashPassword(string password) 
    { 
     byte[] salt; 
     new RNGCryptoServiceProvider().GetBytes(salt = new byte[16]); 
     var pbkdf2 = new Rfc2898DeriveBytes(PasswordTextbox.Password, salt, 10000); 
     byte[] hash = pbkdf2.GetBytes(20); 
     byte[] hashBytes = new byte[36]; 
     Array.Copy(salt, 0, hashBytes, 0, 16); 
     Array.Copy(hash, 0, hashBytes, 16, 20); 
     string savedPasswordHash = Convert.ToBase64String(hashBytes); 
     return savedPasswordHash; 
    } 

そして私は、この機能を使用して、ユーザの入力と比較してみてください：

public static void UnhashPassword(string hashedPassword, string hashedPasswordFromDatabase) 
    { 
     byte[] hashBytes = Convert.FromBase64String(hashedPasswordFromDatabase); 
     byte[] salt = new byte[16]; 
     Array.Copy(hashBytes, 0, salt, 0, 16); 
     var pbkdf2 = new Rfc2898DeriveBytes(hashedPassword, salt, 10000); 
     byte[] hash = pbkdf2.GetBytes(20); 
     for (int i = 0; i < 20; i++) 
      if (hashBytes[i + 16] != hash[i]) 
       throw new UnauthorizedAccessException(); 
    } 

第二の機能は常に例外をスローします。この回答が他の質問のすべての人にとってうまくいくように思えた理由は何であるか分かりません。

Answer 1

確かに問題を再現する良いMinimal, Complete, and Verifiable code exampleがなければ、何が間違っているかを確実に言うことは不可能です。ただし、次のコード例は期待どおりに作業を行う（resultのすなわち値は、それがValidatePassword()への呼び出しによって初期化されています後trueです：

static void Main(string[] args) 
{ 
    string password = "password"; 
    string hashedPassword = HashPassword(password); 
    bool result = ValidatePassword(password, hashedPassword); 
} 

static string HashPassword(string password) 
{ 
    byte[] salt; 
    new RNGCryptoServiceProvider().GetBytes(salt = new byte[16]); 
    var pbkdf2 = new Rfc2898DeriveBytes(password, salt, 10000); 
    byte[] hash = pbkdf2.GetBytes(20); 
    byte[] hashBytes = new byte[36]; 
    Array.Copy(salt, 0, hashBytes, 0, 16); 
    Array.Copy(hash, 0, hashBytes, 16, 20); 
    string savedPasswordHash = Convert.ToBase64String(hashBytes); 
    return savedPasswordHash; 
} 

static bool ValidatePassword(string password, string hashedPasswordFromDatabase) 
{ 
    byte[] hashBytes = Convert.FromBase64String(hashedPasswordFromDatabase); 
    byte[] salt = new byte[16]; 
    Array.Copy(hashBytes, 0, salt, 0, 16); 
    var pbkdf2 = new Rfc2898DeriveBytes(password, salt, 10000); 
    byte[] hash = pbkdf2.GetBytes(20); 
    for (int i = 0; i < 20; i++) 
    { 
     if (hashBytes[i + 16] != hash[i]) 
     { 
      return false; 
     } 
    } 

    return true; 
} 

上記とあなたの元のコードの間の唯一の材料の変更がありますHashPassword()方法はPasswordTextbox.Passwordではなく、渡されたpassword値を使用していること。

その観察に基づいて、私はあなたが後で検証するとして、独自のシナリオでは、あなたが本当に同じパスワードをハッシュされていないと推測することができます。かどうか、これを0なのでは正しいパスワードを持っていなかったし、後で別のパスワードを渡しているとは言いません。

上記のコード例でコードが正しく動作するように適切な方向に向いていない場合は、質問を改善してMCVEが含まれるようにしてください。