Можно ли перейти от хешированного к зашифрованному типу пароля в провайдере членства ASP.NET?

У меня есть веб-приложение asp.net, проверка подлинности форм, в котором используется хешированный пароль. Возникнут ли у меня проблемы, если я изменю тип пароля на Зашифрованный?

Я вижу, что если я перейду на зашифрованный, попытка восстановления пароля для старых хешированных паролей завершится неудачно, и это хорошо. Есть ли какие-то не очень хорошие вещи, которые могут проявиться, если я изменюсь?

Если кто-то изменит свой пароль после того, как я сделаю изменение на «Зашифрованный», тип пароля останется «Хешированный». Есть ли способ заставить его сохранить новый пароль как зашифрованный?


person Mr. Flibble    schedule 17.02.2009    source источник


Ответы (1)


если я изменю тип пароля на зашифрованный?

Почему?

Хеширование безопаснее (восстановление пароля: сгенерируйте новый пароль и отправьте его).

Единственная причина, по которой я могу использовать шифрование, заключается в том, что пароли необходимы самой системе (например, для аутентификации в другой системе в качестве пользователя).

person Richard    schedule 17.02.2009
comment
Система не должна быть надежной как скала. Я хочу, чтобы пользователи могли восстановить свой пароль. Наличие дополнительного шага по сбросу пароля, входу в систему и изменению пароля на что-то запоминающееся может оказаться на один шаг слишком много между попыткой что-то купить и покупкой чего-то. - person Mr. Flibble; 18.02.2009
comment
Я полагаю, это действительно во многом зависит от того, как часто пользователи забывают свои пароли. - person Richard; 18.02.2009
comment
Всякий раз, когда я слышу, что система не должна быть настолько защищенной, я сразу же начинаю подозревать театр безопасности ... который может быть точным описанием большинства интернет-магазинов, если подумать. - person Pontus Gagge; 10.03.2009
comment
@Pontus: действительно ... и то, как люди склонны повторно использовать пароли, означает, что многие сайты конкурируют за звание самого слабого звена. - person Richard; 10.03.2009