Spring Security Salz Konfiguration mit MD5 die Verwendung der basic-String-Objekt

Ich habe dieses forum und die docs, aber fand keine Antwort auf diese Frage ist, wie kann ich einen basic-Spring Security-Konfiguration setup mit einem einfachen java-Objekt als Salz für die MD5-Codierung?

Ist hier mein Spring Security-Kontext snippet Konfiguration: 

  <beans:bean id="saltSource" class="com.myproject.sec.util.MyString" scope="singleton" >
      <beans:constructor-arg value="12345" />
  </beans:bean>

  <authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="userService">
        <password-encoder hash="md5">
            <salt-source ref="saltSource" />
        </password-encoder>
    </authentication-provider> 
  </authentication-manager>

...aber diese Konfiguration wird eine unerwünschte Fehler Ausnahme beschweren, dass das Salz die Quelle ist nicht in der org.springframework.Sicherheit.die Authentifizierung.dao.SaltSource-Schnittstelle, aber ich will nicht zu verwenden, eine Eigenschaft von Benutzerdaten wie mein Salz (da diese Schnittstelle unterstützt Benutzer-Details), sondern meine eigene String-Objekt, wie oben dargelegt. Wie mache ich das erreichen?

Auch, als eine zweite, eng damit verbundene Frage, ich weiß, ich kann das Salz als Benutzername wie hier: 

  <authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="userService">
        <password-encoder hash="md5">
            <salt-source user-property="username"/>
        </password-encoder>
    </authentication-provider> 
  </authentication-manager>

und, haben eine system weite Feste Salz von "12345" wie folgt: 

  <authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="userService">
        <password-encoder hash="md5">
            <salt-source system-wide="12345"/>
        </password-encoder>
    </authentication-provider> 
  </authentication-manager>

...aber wie bekomme ich das Salz als eine Verkettung von Benutzername und systemweite Konstante "12345", z.B. wenn der Benutzername ist " fred, die Salz als "fred12345" ohne Rückgriff auf übergeordnete umsetzen meiner eigenen Codierung?

InformationsquelleAutor Cem Sultan | 2013-10-02
  1. 2

    Bitte nicht mit MD5-hash-Passwörter, es ist sehr leicht zu knacken.

    Verwenden, Spring Security ist newish BCryptPasswordEncoder. Es behandelt Salzen für Sie (und speichert den hash und Salz in der gleichen Spalte db):

    http://docs.spring.io/spring-security/site/docs/current/apidocs/org/springframework/security/crypto/bcrypt/BCryptPasswordEncoder.html

    Hier ist meine Antwort auf die einfache Art und Weise, es zu tun:

    Spring Security mit Rollen und Berechtigungen

    • Danke für die info. Ich werde diese Antwort geben, eine Zecke, aber darf ich Fragen: (1) warum ist es leicht zu hacken MD5, wenn eine eindeutige Verkettung Salz (wie oben beschrieben) verwendet wird? (2) Wenn ich entscheiden, zu verwenden MD5-aus bestimmten Gründen ist es möglich (ohne zu überschreiben), um pass eine einzigartige Salz (Benutzername + MyString-Objekt) MD5 verschlüsselt mittels Spring Security-Konfiguration Kontext-Datei, und wenn ja, wie?
    • Hier ein paar Daten über die Geschwindigkeit der Rissbildung schnelle hashes: security.stackexchange.com/questions/8607/...
    InformationsquelleAutor Neil McGuigan
  2. 2

    Wenn Sie wollen Salz sein username + "12345", können Sie implementieren Ihre eigenen SaltSource (es ist leicht): 

    public class UserNameAndStringSalt implements SaltSource {
    @Override
    public Object getSalt(UserDetails user) {
        return user.getUsername() + "12345";                
    }
}

    Dann:

    <beans:bean id="saltSource" class="com.myproject.UserNameAndStringSalt" scope="singleton" />

<authentication-manager alias="authenticationManager">
  <authentication-provider user-service-ref="userService">
      <password-encoder hash="md5">
          <salt-source ref="saltSource" />
      </password-encoder>
  </authentication-provider> 
</authentication-manager>

    Und als Neil McGuigan sagte in der Antwort oben, versuchen Sie nicht, verwenden Sie MD5-oder single-pass-SHA - es ist besser, verwenden Sie BCrypt oder SCrypt aus den erklärten Gründen hier: https://security.stackexchange.com/questions/8607/how-quickly-can-these-password-schemes-really-be-beaten

    • Vielen Dank für deinen Beitrag, aber ich war auf der Suche, wie Sie diese erreichen, ohne Rückgriff auf die Umsetzung meiner eigenen Salz-Quelle, sondern in der Lage, es zu tun über das Spring Security-Konfiguration Kontext-Datei, wenn möglich.
    InformationsquelleAutor Kresimir Nesek
  3. 0

    Es wird empfohlen, die StandardPasswordEncoder, dass der Frühling Sicherheit bietet. Es wird automatisch Griff den Salzen für Sie. Es verwendet auch eine viel stärkere SHA256-hash.

    http://docs.spring.io/spring-security/site/docs/3.1.x/apidocs/org/springframework/security/crypto/password/StandardPasswordEncoder.html

    <beans:bean id="passwordEncoder" class="org.springframework.security.crypto.password.StandardPasswordEncoder" />

<authentication-manager alias="authenticationManager">
    <authentication-provider user-service-ref="userService">
        <password-encoder ref="passwordEncoder" />   
    </authentication-provider>
</authentication-manager>
    • Mit BCryptPasswordEncoder hat einen Standardwert von 10 Runden, die können leicht eingestellt werden, um eine beliebige Zahl (z.B. 1024) über den Konstruktor zusätzlich zu einer SecureRandom-Instanz für das hashing. Es implementiert die PasswordEncoder ein interface, das besagt, dass bei SHA-1 oder größer hash kombiniert mit einem 8-byte-oder mehr zufällig generierten salt. Mit StandardPasswordEncoder hat den SHA-256-hashing mit 1024 Iterationen und 8-byte zufälliger salt-Wert zusammen mit einem Geheimen Wert. Also, was hashing-Algorithmus hat BCryptPasswordEncoder verwenden? Und welche von diesen 2 ist solide gegen einen möglichen hack?
    • Ich habe nicht bemerkt, das @neilmcguigan erst nachdem ich gepostet meine Antwort. In Sie suchen, BCryptEncoder ist besser zu bedienen (es gibt sogar so in den source-code von StandardPasswordEncoder). BCrypt ist keine hash-Algorithmus, sondern ein key derivation function (KDF). Es nutzt Blowfish unter der Abdeckung. Was ich wirklich interessant finde ist, dass bcrypt ist adaptiv. Das heißt, Sie können erhöhen Sie die Stärke in die Zukunft, um es teurer zu knacken.
    • Vielen Dank für die Klarstellung.
    InformationsquelleAutor Bart
Schreibe einen Kommentar