[C#] Approccio per criptare password

[rizzotti91]

Ragazzi ho visto la classe Bcrypt che dovrebbe essere migliore dell'SHA512, confermate?
Ho una domanda: sto memorizzando la password concatenando alla fine della stessa una mia parola personale e mettendo come parametro nel generate salt, il numero 12. Ovviamente più il numero aumenta più il tempo per generarla cresce.
Bene, siccome raramente nel programma che sto facendo dovrò generare password, il numero di salt che specifico in fase di inserimento peggiorano anche il tempo di decifrazione della stessa in fase di login?
Grazie.

[Braccop]

imho non accanirti + di tanto sul lato hashing delle password... sha256 o 512 + un salt e' piu' che sufficiente, anche perche' tieni conto che se la webapp e' realizzata bene nessuno verra' mai in possesso del database...

piuttosto concentrati sulle tecniche per proteggerti da sql injection (query parametrizzate) e xss scripting

[rizzotti91]

Originariamente inviato da Braccop

imho non accanirti + di tanto sul lato hashing delle password... sha256 o 512 + un salt e' piu' che sufficiente, anche perche' tieni conto che se la webapp e' realizzata bene nessuno verra' mai in possesso del database...

piuttosto concentrati sulle tecniche per proteggerti da sql injection (query parametrizzate) e xss scripting

L'applicazione non è una webapp, ma funziona in locale..

[rizzotti91]

Scusate se uppo la discussione ma trattandosi sempre di crittografia e di c# non credo sia necessario aprirne una nuova

Ho la necessita di trasferire dei file che cripto con AES e mi chiedevo se all'atto pratico ci sia differenza nell'usare una password del tipo: "1234123464138" oppure una "AZ_234.-[]{"
Ovviamente sono semplicemente esempi, ma mi interesserebbe capire se a livello di sicurezza cambia qualcosa

[banryu79]

Originariamente inviato da rizzotti91

Scusate se uppo la discussione ma trattandosi sempre di crittografia e di c# non credo sia necessario aprirne una nuova

Ho la necessita di trasferire dei file che cripto con AES e mi chiedevo se all'atto pratico ci sia differenza nell'usare una password del tipo: "1234123464138" oppure una "AZ_234.-[]{"
Ovviamente sono semplicemente esempi, ma mi interesserebbe capire se a livello di sicurezza cambia qualcosa

Non sono la persona più adatta a risponderti, poichè non sono un esperto di sicurezza, però provo lo stesso a fornirti qualche indicazione (spero utile) che mi deriva dalla mia esperieza come utente di un software [KeePass] per la gestione personale delle password (ho un sacco di account online e non voglio ne impazzire a inventrami nuove password ogni volta ne usare delle stringhe banali facili da tenere a mente).

Questo software ha un Password Generator in cui l'utente può definire la lunghezza della password e i set di caratteri da utilizzare per generarla; può poi chiedere al generatore una sorta di "preview" per vedere che tipo di password saltano fuori.

Ogni password riporta una metrica della sua "qualità" in termini di numero di bit (più è alto più sicura è la password).

Ho fatto una prova con due generatori; entrambi per password lunghe 16 caratteri, il primo col solo set delle cifre (0,1,2...) il secondo più articolato, con: tutti gli alfanumerici (0,1,2...a,b,c,...A,B,C...) il carattere meno (-), l'underline (_) le parentesi "[,]{,},(,)" e il punto (.)

Il risultato?
Che le password partorite dal primo generatore viaggiavano sui 31-37 bit mentre quelle del secondo generatore sugli 83-95 bit.
Quindi più è ricco l'alfabeto, più le password generate sono, in media, più "robuste".



Qualche link (credo) utile a 360° sulll'argomento:
- http://psychology.wichita.edu/surl/u.../Passwords.asp
- http://stackoverflow.com/questions/5...-best-practice
- http://www.schneier.com/blog/archive...ng_secure.html


@EDIT: Forse era il caso di aprire un nuovo thread, dopotutto questo aspetto è agnostico rispetto al particolare linguaggio di programmazione.

[rizzotti91]

Ti ringrazio per la risposta molto esaustiva

C'è un limite per la lunghezza della stringa passata come password usando la crittografia con EAS con il C# e la classe Criptography?

[banryu79]

Originariamente inviato da rizzotti91

Ti ringrazio per la risposta molto esaustiva

Oddio, molto esaustiva... Più che altro molto prolissa

Originariamente inviato da rizzotti91

C'è un limite per la lunghezza della stringa passata come password usando la crittografia con EAS con il C# e la classe Criptography?

E qui mi ritiro con disonore: non ne ho idea.
Però se ci fosse per questioni di implementazione, probabilmente la cosa sarebbe documentata: in attesa di una risposta io andrei a spulciare la documentazione.