De la Seguridad del acceso a datos en aplicaciones ASP ... - Willy .Net

Almacene valores hash de contraseña unidireccionales (con un valor salt
aleatorio).
Evite la inyección SQL al validar credenciales de usuario.
Almacenar valores hash de contraseña unidireccionales
(con salt)
Las aplicaciones Web que utilizan la autenticación mediante Formularios necesitan a
menudo almacenar las credenciales de usuario (incluidas las contraseñas) en una
base de datos. Por motivos de seguridad, no debería almacenar contraseñas (texto
sin cifrar o cifrado) en la base de datos.
Debería evitar almacenar contraseñas cifradas porque eso aumenta los problemas
de administración de claves; puede asegurar la contraseña con cifrado, en cuyo caso
tiene que pensar en cómo almacenar la clave de cifrado. Si la clave se convierte en
vulnerable, un atacante puede descifrar todas las contraseñas del almacén de datos.
La opción preferida es:
Almacenar un valor hash unidireccional de la contraseña. Vuelva a
calcular el valor hash cuando haya que validar la contraseña.
Combine el valor hash de la contraseña con un valor salt (un número
aleatorio de criptografía segura). Al combinar el valor salt con el valor hash
de la contraseña, se reduce la amenaza asociada a los ataques de diccionario.
Crear un valor salt
El siguiente código muestra cómo generar un valor salt con la funcionalidad de
generación de números aleatorios que proporciona la clase
RNGCryptoServiceProvider en el espacio de nombres
System.Security.Cryptography.
public static string CreateSalt(int size)
{
}
RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider();
byte[] buff = new byte[size];
rng.GetBytes(buff);
return Convert.ToBase64String(buff);
Crear un valor hash (con un valor salt)
El siguiente fragmento de código muestra cómo generar un valor hash a partir de una
contraseña suministrada y un valor salt.
public static string CreatePasswordHash(string pwd, string salt)
{
}
string saltAndPwd = string.Concat(pwd, salt);
string hashedPwd =
FormsAuthentication.HashPasswordForStoringInConfigFile(
return hashedPwd;
saltAndPwd, "SHA1");