如何？在ASP.NET中加密和解密用户成员密码

Question

我们正在创建一个使用ASP.NET成员资格提供程序进行用户注册和登录的新站点。我们的旧系统加密了用户密码，以便我们可以在需要时对其进行恢复。

我很难找出是否有可能使用ASP.NET成员资格函数来简单地加密密码，当用户注册，然后解密它，所以我可以看到它。

此文档不存在。

我知道如何将Web.config配置为将密码存储为提供者中的密码ala passwordFormat =“Encrypted”，然后在machineKey中分配一个validationKey，但是好像密码仍然被哈希（尽管也许它只是很好的加密）。无论哪种方式，我无法决定如何在必要时恢复密码（由我们）。

谢谢！

Answer 1

以可恢复的格式存储密码是一个非常糟糕的主意。如果你能恢复它们，那么任何人都可以闯入你的服务器。

你最好使用标准的hash + salt方法并使用密码重置机制来处理用户忘记密码的情况。

Answer 2

您需要使用passwordFormat =“Encrypted”而不是passwordFormat =“Hashed”。然后，您可以使用DecryptPassword method of the MembershipProvider在必要时解密密码。

Answer 3

我假设您使用MS提供的SQLMembershipProvider。如果是这样，那么为什么不使用内置的问题和答案功能来允许用户重置他们的密码。或者（或者另外）重置他们的密码并将新密码发送给他们。这样，您的应用程序无法将意外的用户密码暴露给任何人。

如果您确实需要解密他们的密码，那么passwordFormat必须设置为“Encrypted”。有关解密密码的信息，请参阅DecryptPassword。有关如何配置解密的详细信息，请参阅PasswordFormat，请注意，它表示您必须指定machineKey元素的decryptionKey属性。

Answer 4

Imports System.Web.Security 

Public Class PasswordRecovery 
    Inherits SqlMembershipProvider 

    Public Function GetDecryptedPassword(ByVal password As String) As String 
     Try 
      Dim _encodedPassword() As Byte = Convert.FromBase64String(password) 
      Dim _bytes() As Byte = DecryptPassword(_encodedPassword) 
      If _bytes Is Nothing Then 
       Return "" 
      Else 
       Return System.Text.Encoding.Unicode.GetString(_bytes, &H10, _bytes.Length - &H10) 
      End If 
     Catch ex As Exception 
      Throw New Exception("Error decrypting password.", ex) 
     End Try 
    End Function 
End Class