存储用于传递到另一个服务的密码

Question

做这件事最好的方法是什么？

通常，我们会对其进行散列，但这是不可能的，因为散列是单向的，我们需要将真正的密码传递给Jira，而不是散列。

Answer 1

如果存储的字符串需要保护以防出现漏洞或作为一般软件数据安全问题，则应该进行加密。例如，在您的情况下，当密码被用户拿走时，在存储前应由软件加密。在检索时，密码被解密并转换为哈希（或base64)，Jira为登录握手接受该哈希（或base64）。

除了简单的加密和解密之外，更好的方法是在加密的同时使用salts，并在循环中使用多个加密来避免暴力尝试。

伪代码：

unsafe_password = getPasswordFromUser()
salt = getRandomString();
safePassword = encrypt(unsafe_password, salt, key)

// Store the password
putEntryInDB(user, safePassword, salt)

// Retrieve password
[passwordSalt, encryptedPassword] = getSaltAndEncryptedPasswordFromDB()

unsafePassword = decrypt(encryptedPassword, passwordSalt, key)

// Now login into Jira with the actual user's password (unsafePassword)

P.S. You'll be needing to store a key in the code or in some software's configuration.