用户密码安全性

Question

假设数据库里面的用户名和密码被运维人员知道了，那岂不是很容易就能通过AES_DECRYPT(表的字段名字,'钥匙')函数来破译成明文，这样安全吗？

Answer 1

神思者 2021-09-06 16:42:56

首先后台所有数据基本上运维和开发人员都能看到，即便你用了哈希加密，也能破解。哈希不可逆，已经不成立了。所以你追求绝对安全，应该让开发和运维看不到数据，你觉得公司会接受吗？在特殊领域，数据会被双重加密，普通密钥加密和数字证书密钥加密。运维人员手里没有数字证书密钥，所以无法解密。

• 慕哥5289191 #1

  用BCrypt这种是不是会更好一些（随机盐+SHA156），被脱裤了应该也很难撞出来吧。老师 想问一下密码在传输过程中应该怎么存在呢，如果上了https，是不是也不应该传输明文（证书泄露，中间人攻击..），如果是传输哈希值，那数据库中是不是应该将密码哈希然后加盐 之后再哈希（hash(hash(pass)+salt)），这样是不是可以保证密码在传输过程和存储的安全性。