结合使用BCrypt和char []

Question

大约几个小时前，我在Stack Overflow上询问了有关如何将char []转换为MD5哈希的方法。

Neil Smithline建议我使用BCrypt，但不能将其与char []一起使用。

我使用char []来存储从登录表单中检索到的密码的原因是因为.getPassword()仅支持char []。

        char[] passwordChars = passwordInputField.getPassword();
        String hashed = BCrypt.hashpw(passwordChars, BCrypt.gensalt(12));

当前，我正在尝试使用上面的代码生成哈希，但是由于变量passwordCars的类型为char []，因此不支持 BCrypt.haspw()

现在，我不使用常规字符串的唯一原因是无法从内存中清除它。

我现在的问题是-是否可以将BC []与char []一起使用？

提前致谢！

Answer 1

我发现的两个Java bcrypt隐式实现都将String作为输入。如您所知，将密码放入字符串中会使您容易受到内存攻击。

您可以使用PBKDF2以及bcrypt。两者都被认为是一流的。这里和这里都有PBKDF2 Java代码示例。两者都允许将a传递char[]给函数。

为了回答注释中的隐式问题，您不使用MD5或任何哈希的原因是它们太快了。使用特殊硬件可以强行强制使用密码。Bcrypt和PBKDF2设计得很慢。

即使您要使用哈希（我建议您反对），也必须对其加盐。逆转未加盐的密码哈希很简单（请参阅此工具）。

该CrackStation的基准上的密码存储是一个很好的一般参考。