パスワードがハッシュ値として保存されたときにパスワードを取得する

Question

パスワードがハッシュ値として保存されている場合、ユーザーが自分のパスワードを電子メールで送信するように要求できますか？

ハッシュ値を適切な情報（平文テキスト値）に変換する方法はありますか（&必要な情報）？

ユーザーが2つのサイトに同じパスワードハッシュ値を格納している場合、そのパスワードは両方のサイトで同じになりますか？

Answer 1

パスワードのハッシュのみを保存している場合は、いいえ。とにかく、適切に塩漬けされたパスワードのハッシュだけを保管するべきです。

パスワードリセットメカニズムは適切な方法です。

Answer 2

要するに、ほとんどのハッシュアルゴリズムでは、同じ出力を持つ複数の入力を持つことができます。パスワードリセットオプションを提供する方が良い場合がよくあります。

Answer 3

ハッシュされたパスワードは一般には取得できません（これはハッシュ関数によって異なりますが、セキュアハッシュは取得できません）。 2つのサイトで同じハッシュがある場合、同じパスワードを使用できます。これは、サイトで使用されるハッシュソルト、どのような方法などによって異なります。

パスワードが安全なハッシュシステム決してパスワードを電子メールで送信できないようにするには、パスワードを忘れた場合はリセットする必要があります。

Answer 4

ハッシュアルゴリズムにはさまざまな種類があります。いくつかは他よりも安全です。 MD5は普及していますが、安全性に欠けるものです。 SHAファミリは、さらに安全なアルゴリズムのセットです。

定義上、ハッシュは一方向性関数です。それは元に戻すことはできません。

http://en.wikipedia.org/wiki/Sha-1

Answer 5

クリアテキストのパスワードを回復するための簡単な方法があった場合は、そもそもパスワードをハッシュにはポイントはないだろう。その時点で、base64またはROT13だけでもよいでしょう。 （そうしないでください）

他にも記載されているように、他のパスワード回復方法を使用してください。クリアテキストのパスワードにアクセスする正当な理由はありません。

2つのサイトのハッシュが同じ場合、ユーザーは両方で同じパスワードを持つ可能性が非常に高いです。しかし、100％保証されているわけではありませんが、ハッシュの衝突があるかもしれませんが、それは非常に難しいでしょう。

Answer 6

パスワードのハッシュを保存する背景にある一般的な考え方は、データベースにアクセスできるユーザーであっても、パスワードが安全であることを保証することです。信頼は決して暗黙ではありません。ハッシュは一方向アルゴリズムなので、ハッシュコードから元のパスワードを派生させる方法はありません。通常、ユーザーがハッシュとして保存されたパスワードを回復する必要がある場合は、秘密の質問をして、一時パスワードを電子メールで送信するか、一時的なリンクを電子メールで送信してパスワードを変更する必要があります。これにより、パスワードは決してクリアテキストで保存されず、信用できると思われる人でさえも、すべての世の中から安全です。

Answer 7

一般的に使用されるハッシュを逆にする方法はありません。彼らは強引にすることができます（すべての可能なパスワードを試してみてください）。または単語リスト（一般的に使用されるパスワードのリストを使用して）を併用して速度を上げることもできますが、依然として非常に遅くCPU集中的なプロセスです。

多くのサイトで使用する最も良い方法は、ユーザー名と電子メールを入力する「パスワードリセット」ボタンを作成することです。一致すると、ランダムなパスワードが送信され、ログインページへのリンクが表示されますランダムなパスワードでログインしてパスワードを変更することができます。これを行うには

Answer 8

あなたはフィールドを持つモデル持っている必要があります。

Hashed_password 
Salt 

をそして、あなたは、あなたがあなたのコントローラ内で定義することができます パスワードを（ここで私はSHA1を使用）ハッシュする方法をユーザーに知っておく必要があります。

あなたが比較できる

def self.encrypted_password(password, salt) 
    string_to_hash = password + "wibble" + salt 
    Digest::SHA1.hexdigest(string_to_hash) 
end 

次へ：

user.Hashed_password == encrypted_password(password, user.salt) 

真の股関節を意味t "パスワード"は、ユーザー "ユーザー"のパスワードです