MembershipPasswordFormat.Hashed? Comment cela marche-t-il?

Question

Directement au point:

Où puis-je placer l'algoritm pour le cryptage de hachage de mot de passe dans le fournisseur d'adhésion? ou: Où l'équipe Microsoft a-t-elle placé la méthode de chiffrement? Parce que: J'ai choisi de l'avoir Hash mais le mot de passe a fini dans ma base de données sont clairs.

Merci beaucoup :)

Mise à jour -----

Désolé pour ne pas mentionner, im en utilisant mon propre fournisseur personnalisé.

Answer 1

Ceci est spécifié dans le Membership Provider configuration de votre webconfig, en utilisant la add element:

<!-- SqlMembershipProvider syntax --> 
<add name="string" 
    type="string" 
    connectionStringName="string" 
    applicationName="MyApplication" 
    commandTimeout 
    description 
    enablePasswordRetrieval="false" 
    enablePasswordReset="true" 
    passwordFormat="Hashed" 
    minRequiredPasswordLength 
    minRequiredNonalphanumericCharacters 
    passwordStrengthRegularExpression 
/> 

L'algorithme par défaut est SHA1, tel que défini dans le fournisseur d'appartenances, mais vous pouvez remplacer si vous voulez d'utiliser le hashAlgorithmType attribut:

<membership 
    defaultProvider="provider name" 
    userIsOnlineTimeWindow="number of minutes" 
    hashAlgorithmType="SHA1"> 
    <providers>...</providers> 
</membership> 

Pour plus de détails sur la fourniture de votre propre algorithme, consultez "Mapping Algorithm Names to Cryptography Classes". Notez que le format remplace des éléments tels que la récupération de mot de passe - les mots de passe hachés ne peuvent pas être récupérés et un fournisseur doit renvoyer une exception si GetPassword est appelé lorsque le mot de passe est haché (voir propriété EnablePasswordRetrieval). Si vous avez écrit votre propre MembershipProvider, je vous suggère de regarder le "How to: Sample Membership Provider Implementation", en particulier les méthodes EncodePassword et UnencodePassword.

Answer 2

Je ne suis pas sûr, mais je pense que les mots de passe sont sauvegardés en texte brut parce que la récupération de mot de passe est activée. Vous pouvez le désactiver en définissant l'appartenance < ... enablePasswordRetrieval = "False" /> dans Web.config.

Answer 3

C'est une option sur le fournisseur dans la configuration XML. Le docs montre que vous venez de définir "passwordFormat = 'hashed'".