Spring Securityセッションのプレーン・テキスト・パスワード

Question

優れたSpring Security Pluginを使用するGrailsアプリケーションで作業しています。認証はOracle Access Managerを介して行われ、アプリケーションURLを保護します。ですからPreAuthフィルタを使うだけで、パスワードについて心配する必要はありません。今まで。

私たちが（冷凍サンプルを管理し、ユーザが誰かのサンプルを見ないようにユーザアクセス管理を必要とする）統合し、LDAPを使用する別のアプリケーションがあります。前記アプリケーションは、ユーザ名パスワードを取り込み、そのユーザのアクセスに基づいてデータを返すAPIを公開する（ユーザ機能の代わりにはない）。

問題は、私は自分のパスワードをユーザーに尋ねると、そのサービスにプレーンテキストのパスワードを送信する必要がです。だから、ハッシュとエンコーディングは可逆でなければならず、ハッシュコードを比較することはできません。可能な限り最良の方法でこれを管理する方法に関する提案はありますか？

私はサーバー上で作成されたランダムな塩を使って（そして6時間ごとにサイクルを繰り返す）、パスワードをエンコードして短命のクッキーに設定し、外部の呼び出し時にサーバー上でデコードすることを考えていましたサービス。この方法では、潜在的な攻撃者はサーバーのメモリとユーザーのシステムからのCookieからのデータを必要とし、プレーンテキストのパスワードはどこにも保存しません。ただの素朴な試み。非常に提案に開放されています。

Answer 1

だから私はこのように動作するように私のアプリケーションのいずれかをハッキング：Userクラスで

：（春のセキュリティUser.groovy）

static transients = ['springSecurityService', 'rawPassword'] 

//To bypass facebook users who log in via facebook 
//we will back up original hashed password string 
//log them in then save old password has by calling user.rawPassword=oldHash 
//this will update underlying password with string hash value 
void setRawPassword(String p) { 
    password=p 
} 

次に、関連するサービスに

//Get old password hash 
def oldPassword=user?.password 
     String authPassword 
     if (oldPassword) { 
      def uid = user.password + new UID().toString() + prng.nextLong() + System.currentTimeMillis() 
      MessageDigest digest = MessageDigest.getInstance("SHA-256"); 
      byte[] hash = digest.digest(uid.getBytes("UTF-8")); 
      def token1 = hash.encodeBase64() 
      user.password = token1 
      //Generate a random password 
      authPassword = token1 
      //Update user Password to be random Password 
      UsernamePasswordAuthenticationToken uat1 = new UsernamePasswordAuthenticationToken(user.username, authPassword, null) 
      uat1.setDetails(user) 
      SecurityContext context = SecurityContextHolder.getContext() 
      //Re-setAuthentication of springSecurity using new Password 
      context.setAuthentication(uat1) 
      if (oldPassword) { 
       //Now we are authenticated let's set back the original Hash as the hash we collected in oldPassword 
       //just before doing the hack 
       user.rawPassword = oldPassword 
       user.save(flush: true) 
      } 
      springSecurityService.reauthenticate user.username 
     } 

を

これは、プロセスの変更中に（最後に）設定されたパスワードを変更せずにユーザーとして認証するという面倒なハックです。

私はそれを推奨していませんが、あなたが概説したものより簡単な選択肢かもしれません。