实现 key stretching [1] 的方法，具体就是从一个 master key，password 或者 passphrase 派生出一个或者多个密钥，派生的过程，使用PRF（Pseudo Random Function 伪随机函数）可以是某种哈希算法。
密码管理在非必要情况下一般不会重新发明，Django致力于提供一套安全、灵活的工具集来管理用户密码。本文档描述Django存储密码和hash存储方法配置的方式，以及使用hash密码的一些实例。
在现代信息安全领域，确保密码和其他敏感数据的机密性是一个至关重要的问题。为此，加密算法和密钥推导函数被广泛采用。其中一种算法是 PBKDF2（Password-Based Key Derivation Function 2），用于从密码推导出加密密钥。让我们以 Java Service为例，深入了解 PBKDF2 的工作原理。
一、我是新手我怕谁 新手程序猿通常会直接存储明文密码在数据库中，好一点的会使用MD5来加密密码后存储md5(password)，再好一点的会sha1加密密码后存储sha1(password)。将常用的组合哈希后存入数据库，用来爆库，这个就是所谓的彩虹表。 二、加盐salted 在密码中加入随机数字或字符，然后再进行哈希，看起来叼了很多，但是实际上对于现在计算机来说，即使简单的使用了盐和哈希的加密，短密码仍然会在非常短的情况下就会被破解出来。 三、美国标准 美国政府的标准，已经
过去一段时间来，众多的网站遭遇用户密码数据库泄露事件，这甚至包括顶级的互联网企业–NASDQ上市的商务社交网络Linkedin，国内诸如CSDN一类的就更多了。 层出不穷的类似事件对用户会造成巨大
数据保护（Data Protection）框架旨在解决数据在传输与持久化存储过程中的一致性（Integrity）和机密性（confidentiality）问题，前者用于检验接收到的数据是否经过篡改，后者通过对原始的数据进行加密以避免真实的内容被人窥视。数据保护是支撑ASP.NET身份认证的一个重要的基础框架，同时也可以作为独立的框架供我们使用。(本篇提供的实例已经汇总到《ASP.NET Core 6框架揭秘-实例演示版》）
Spring Security的PasswordEncoder接口用于执行密码的单向转换，以便可以安全的存储密码。PasswordEncoder通常用于在认证时将用户提供的密码与存储的密码的比较。
哈喽，大家好呀！这里是码农后端。本篇将带你了解一些常见的密码加密方式。毋庸置疑，密码的安全性对于用户来说是非常重要的，如何保证密码的安全性使其不被破解也是一直以来的一个非常重要的话题。
PBKDF2(Password-Based Key Derivation Function)
1password是一个非常优秀的密码管理软件，有了它你可以轻松对你的密码进行管理，从而不用再考虑密码泄露的问题，据1password官方介绍，它的底层使用的是PBKDF2算法对密码进行加密。
最近做一个网站，网站需要用户登录注册，自然也就需要一套高扩展性的用户模块设计，该篇文章记录笔者遇到问题的解决方案，希望对你有帮助。
Spring Security是一个提供认证(authentication)、授权(authorization)和防御各种Web攻击的框架，它对命令式和反应式应用程序都提供了一流的支持，是保护基于spring的应用程序的事实标准。
Secp256k1 通过椭圆曲线数字签名算法生成私钥和公钥，其中SEC（Standards for Efficient Cryptography）是专门利用ECDSA或者其可选项Schnorr算法来产生高效的加密方法。 特点是生成密钥很快。
作者简介 张辉，就职于携程技术中心信息安全部，负责安全产品的设计与研发。 作为互联网公司的信息安全从业人员经常要处理撞库扫号事件，产生撞库扫号的根本原因是一些企业发生了信息泄露事件，且这些泄露数据未加密或者加密方式比较弱，导致黑客可以还原出原始的用户密码。目前已经曝光的信息泄露事件至少上百起，其中包括多家一线互联网公司，泄露总数据超过10亿条。 要完全防止信息泄露是非常困难的事情，除了防止黑客外，还要防止内部人员泄密。但如果采用合适的算法去加密用户密码，即使信息泄露出去，黑客也无法还原出原始的密码（或者还原
作为互联网公司的信息安全从业人员经常要处理撞库扫号事件，产生撞库扫号的根本原因是一些企业发生了信息泄露事件，且这些泄露数据未加密或者加密方式比较弱，导致黑客可以还原出原始的用户密码。
为了对用户负责，用户密码采用不可逆算法的时候，我们就要考虑一下如何对用户密码进行加密。那么仅仅是使用不可逆算法就行了吗？还不是，在硬件飞速发展的今天，尤其是GPU运算能力超CPU 10-20倍甚至更多，使得暴力破解的时间大大缩短。那么为了使得暴力破解变得几乎不可能，我们就要使用一些不支持GPU加速破解的算法。这里所说的算法，实际上也是各种加密的hash方式。
虽然现在网上有很多开源的软件可以帮助你解密那些存储在GoogleChrome浏览器中的密码，但是这些软件几乎只支持在Windows操作系统下使用。 那么对于我们这些Mac用户来说，当我们需要快速导出C
在yii2中，管理加密解密的库叫做Security，它以yii2组件的形式存在，因此你可以通过Yii::$app->security来获取并使用它。
目前已经曝光的信息泄露事件至少上百起，其中包括多家一线互联网公司，泄露总数据超过10亿条。
特点：加密解密效率高、速度快、空间占用小、加密强度高 缺点：参与多方都需要持有密钥、一旦有一个人泄露则安全性遭到破坏、另外再不容安全通道下分发密钥也是个问题。 代表算法：DES、3DES、AES、IDEA等等 DES：其密钥长度为56位+8位校验 破解方式：暴力破解 3DES：3重DES操作 算法不能靠累积增加防御力 AES：分组算法、分组长度为128、192、256位三种、其优势在于 速度快 整个过程可以数学化描述、目前尚未有效破解手段 适合场景：适用于大量数据加解密、不能用于签名场景 需要提前分法密钥
dtool 0.5.0 发布了 关于dtool dtool 是一个辅助开发命令行工具集 是RUST写的噢 完整项目介绍 升级点 支持Pbkdf2 大小写转换 (upper, lower, title, camel, pascal, snake, shouty snake, kebab) 增加hash算法 (crc, blake2b) 示例 Sub command Desc Example Remark Since pbkdf2 Pbkdf2 $ dtool pbkdf2 -a sha2_256 -s 0x6
此 crate 提供针对密码的 traits 和类型，使用这个 crate 的 crates 有：
-pbkdf2 和 -iter 1000 选项则告诉 OpenSSL 使用 PBKDF2 密钥派生函数，并且进行1000次迭代，使得暴力破解更加困难。
OpenSSL 是一个开源的软件库和应用程序套件，它提供了许多用于安全传输和加密的工具和库。包括SSL（Secure Sockets Layer）和TLS（Transport Layer Security）协议的实现，以及许多基础的密码学函数，包括生成证书、公私钥、散列等。
根据上面 PasswordEncoder的介绍，可能会以为 Spring security 中默认的密码加密方案应该是四种自适应单向加密函数中的一种，其实不然，
hashlib模块实现了多种安全哈希和信息摘要算法的通用接口，包括FIPS中定义的SHA1, SHA224, SHA256, SHA384, SHA512以及RFC 1321中定义的MD5
出品 | OSC开源社区（ID：oschina2013) Positive Technologies 的网络安全研究员 Arseniy Sharoglazov 近日在社交平台分享了一个简单的实验并指出，加密的 ZIP 文件可能存在两个正确的密码，并且都可以提取出相同的结果。 “创建 ZIP：7z a http://x.zip/etc/passwd -mem=AES256 -p 使用这个密码：Nev1r-G0nna-G2ve-Y8u-Up-N5v1r-G1nna-Let-Y4u-D1wn-N8v4r-G5nn
BIP39[1]定义了一种将计算机产生的随机数翻译成人类可读的方式，初衷很简单：结合BIP32[2]，辅助人类记忆产生主密钥的种子。
为了抵御密码破解，科学家们想出了很多种方法，比如对密码进行混淆加盐操作，对密码进行模式变换和组合。但是这些算法逐渐被一些特制的ASIC处理器打败，这些ASIC处理器不做别的，就是专门来破解你的密码或者进行hash运算。
Django 是一个重视安全的 Web 框架，它内置了许多安全特性和机制来保护 Web 应用程序免受各种攻击。
来源：https://www.cnkirito.moe/spring-security-6
挂断电话后，我赶紧登录12306改掉了我的密码，还好我各个网站的密码不一样，这样就能很好的避免被撞库了。
前段时间将一个集成了 spring-security-oauth2 的旧项目改造了一番，将 springboot 升级成了 springboot 2.0，众所周知 springboot 2.0 依赖的是 spring5，并且许多相关的依赖都发生了较大的改动，与本文相关的改动罗列如下，有兴趣的同学可以参考：Spring Security 5.0 New Features 。其中一个比较有意思的改动---- Spring Security 5.0 重构了密码编码器的实现（Password Encoding，由于大多数 PasswordEncoder 相关的算法是 hash 算法，所以本文将 PasswordEncoder 翻译成‘密码编码器’和并非‘密码加密器’），引起了我兴趣官方称之为
本章基于Spring Security 5.4.1版本编写，从5.x版本开始引入了很多新的特性。 为了适配老系统的安全框架升级，Spring Security也是费劲了心思，支持不同的密码加密方式，而且根据不同的用户可以使用不同的加密方式。
本文总结了在爬虫中常见的各种加密算法、编码算法的原理、在 JavaScript 中和 Python 中的基本实现方法，遇到 JS 加密的时候可以快速还原加密过程，有的网站在加密的过程中可能还经过了其他处理，但是大致的方法是一样的。
说明：内网穿透工具之前已经介绍了不少了，比如Frp、lanproxy、Holer等，现在再介绍个带Web面板的穿透工具nps，之前叫easyProxy，只是改名了而已，该工具是一款使用go语言编写的轻量级、功能强大的内网穿透服务器。支持tcp、udp流量转发，支持内网http、socks5代理，同时支持snappy压缩(节省带宽和流量)、站点保护、加密传输、多路复用、header修改等。同时还支持web图形化管理。
最近几年的新闻中一直有互联网头部公司系统被攻击导致用户密码泄露的新闻。那密码被破解肯定和当初项目伊始时选择的密码哈希方案造成的历史包袱有关。我们不讨论这些互联网巨头应该采用什么方案防止用户密码被破解，我知道的方案人家养的那些技术大拿更知道了。我们就来说一下，如果我们有机会自己从零开始做一个系统时，应该选择什么样的哈希算法有效防止用户的密码不被破解。
保护密码的最好方法是使用加盐哈希； 哈希算法 哈希算法是一种单向函数，把任意数量的数据转换成固定长度的“指纹”，这个过程无法逆转。如果输入发生一点改变，由此产生的哈希值完全不同。 基于哈希加密账号系统中，用户注册和认证的大致流程如下： 用户创建自己的账号； 密码经过哈希加密后存储在数据库中。密码一旦写入磁盘，任何时候都不允许明文形式； 用户试图登录时，系统从数据库取出已经加密的密码，和经过哈希加密的用户输入的密码进行对比； 如果哈希值相同，用户将被授权访问。否则，告知输入登录信息无效； 只有加密哈希函数才可
当哈希碰撞成为现实 如果你在过去的十二年里不是生活在原始森林的话，那么你一定知道密码学哈希函数SHA-1是存在问题的，简而言之，SHA-1没有我们想象中的那么安全。SHA-1会生成160位的摘要，这意味着我们需要进行大约2^80次操作才能出现一次哈希碰撞（多亏了Birthday攻击）。但是在2005年密码学专家通过研究发现，发生一次哈希碰撞其实并不需要这么多次的操作，大概只需要2^65次操作就可以实现了。 这就非常糟糕了，如果现实生活中可以实现哈希碰撞的话，那么这就会让很多使用SHA-1的应用程序变得
不行。存储在数据库的数据面临很多威胁，有应用程序层面、数据库层面的、操作系统层面的、机房层面的、员工层面的，想做到百分百不被黑客窃取，非常困难。
这起事件与OAuth令牌攻击无关，但还是令人不安，因为GitHub披露了大约10万个用户的详细资料已被不法分子窃取。 GitHub近日透露，它将JavaScript软件包注册中心集成到GitHub的日志系统中之后，把“npm注册中心的众多明文格式的用户登录信息”存储到内部日志中。 该公司今天发布了调查4月份一起无关的OAuth令牌窃取攻击的结果，上述信息浮出水面。GitHub描述了攻击者如何窃取了数据，包括大约10万个npm用户的详细信息。 这个代码托管平台继续向用户保证：相关的日志文件没有在任何数据泄密
Gin是一个用Go语言编写的Web框架，而用户密码的加密通常是在应用程序中处理用户身份验证时的一个重要问题。
在使用PHP开发Web应用的中，很多的应用都会要求用户注册，而注册的时候就需要我们对用户的信息进行处理了，最常见的莫过于就是邮箱和密码了，本文意在讨论对密码的处理：也就是对密码的加密处理。
1、问题描述：在写基于Spring cloud微服务的OAuth2认证服务时，因为Spring-Security从4+升级到5+，导致There is no PasswordEncoder mapped for the id “null”错误。 2、解决方案： 可在密码验证类中添加 @Bean public static NoOpPasswordEncoder passwordEncoder() { return (NoOpPasswordEncoder) NoOpPasswordEncoder.get
Django 从1.4 版本开始，包含了一些安全方面的重要提升。其中一个是使用 PBKDF2 密码加密算法代替了 SHA1 。另外一个特性是你可以添加自己的密码加密方法。 Django 会使用你提供的第一个密码加密方法（在你的 setting.py 文件里要至少有一个方法） 1 2 3 4 5 6 7 8 PASSWORD_HASHERS = ( 'django.contrib.auth.hashers.PBKDF2PasswordHasher', 'django.contrib.auth.
原文地址: https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-40.html
参考文章：http://www.javaboy.org/2020/0618/passwordencoder.html
最近把小站的登录页面给重构了，之前的安全性存在很大问题，基本处于裸奔的状态，特此记录一下过程。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
