Comment puis-je hacher en toute sécurité des mots de passe en Java à l'aide de PBKDF2 ?

Comment hacher en toute sécurité les mots de passe pour le stockage

Le stockage des mots de passe en texte clair présente un risque de sécurité important. Pour protéger les données sensibles, il est crucial de hacher les mots de passe avant de les stocker. Ce processus implique la conversion des mots de passe en texte brut dans un format crypté de taille fixe, irréversible et coûteux en calcul à casser. Java fournit des fonctionnalités robustes pour le hachage des mots de passe, garantissant la sécurité des informations d'identification des utilisateurs.

Utilisation de PBKDF2 pour le hachage sécurisé des mots de passe

La bibliothèque SunJCE dans Java 6 introduit PBKDF2 (Password- Based Key Derivation Function 2), un algorithme standard de l’industrie pour le hachage de mots de passe. Il est conçu pour empêcher les attaques par force brute et les attaques par table arc-en-ciel en incorporant un sel aléatoire et un coût de calcul élevé.

Implémentation du hachage de mot de passe à l'aide de PBKDF2

1. Créez un sel : générez un sel aléatoire pour empêcher l'utilisation de tables arc-en-ciel précalculées.
2. Hachez le mot de passe : utilisez le Algorithme PBKDF2 pour dériver un hachage du mot de passe et du sel.
3. Stocker le mot de passe haché : enregistrez le sel et le mot de passe haché en toute sécurité dans la base de données.

Vérification des mots de passe pendant Connexion

Lorsqu'un utilisateur se connecte dans :

1. Récupérer le sel : obtenez le sel associé au compte de l'utilisateur.
2. Hashez le mot de passe soumis : calculez le hachage du mot de passe soumis à l'aide du sel récupéré.
3. Comparer les hachages : vérifiez si le hachage calculé correspond au mot de passe haché stocké. S'ils correspondent, le mot de passe est correct.

Exemple de code pour le hachage de mot de passe

import java.security.NoSuchAlgorithmException;
import java.security.SecureRandom;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.KeySpec;
import java.util.Arrays;
import java.util.Base64;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.PBEKeySpec;

public class PasswordAuthentication {

  public String hash(char[] password) {
    byte[] salt = new byte[SIZE / 8];
    random.nextBytes(salt);
    byte[] dk = pbkdf2(password, salt, 1 << cost);
    byte[] hash = new byte[salt.length + dk.length];
    System.arraycopy(salt, 0, hash, 0, salt.length);
    System.arraycopy(dk, 0, hash, salt.length, dk.length);
    return ID + cost + '$' + enc.encodeToString(hash);
  }

  public boolean authenticate(char[] password, String token) {
    Matcher m = layout.matcher(token);
    if (!m.matches())
      throw new IllegalArgumentException("Invalid token format");
    int iterations = iterations(Integer.parseInt(m.group(1)));
    byte[] hash = Base64.getUrlDecoder().decode(m.group(2));
    byte[] salt = Arrays.copyOfRange(hash, 0, SIZE / 8);
    byte[] check = pbkdf2(password, salt, iterations);
    int zero = 0;
    for (int idx = 0; idx < check.length; ++idx)
      zero |= hash[salt.length + idx] ^ check[idx];
    return zero == 0;
  }

  private byte[] pbkdf2(char[] password, byte[] salt, int iterations) {
    KeySpec spec = new PBEKeySpec(password, salt, iterations, SIZE);
    try {
      SecretKeyFactory f = SecretKeyFactory.getInstance(ALGORITHM);
      return f.generateSecret(spec).getEncoded();
    }
    catch (NoSuchAlgorithmException ex) {
      throw new IllegalStateException("Missing algorithm: " + ALGORITHM, ex);
    }
    catch (InvalidKeySpecException ex) {
      throw new IllegalStateException("Invalid SecretKeyFactory", ex);
    }
  }
}

Conclusion

Le hachage des mots de passe à l'aide de PBKDF2 est une mesure de sécurité essentielle pour protéger les données des utilisateurs. En mettant en œuvre un hachage de mot de passe robuste, les développeurs peuvent améliorer considérablement la sécurité de leurs applications et minimiser le risque de violation de données.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!