如何使用四郎的SaltedAuthenticationInfo？

Question

我为我的应用程序开发一个身份验证组件。我正在使用带有盐密码的Apache Shiro API。

ByteSource salt = randomNumberGenerator.nextBytes(32);      
byte[] byteTabSalt = salt.getBytes();   
String strSalt = byteArrayToHexString(byteTabSalt);         
String hashedPasswordBase64 = new Sha256Hash(inPassword, salt, 512).toBase64();

谢谢你的帮助。

Answer 1

saltedauthenticationinfo是一个接口。为了方便起见，Shiro API提供了许多默认实现。尽可能地尝试使用默认实现之一；避免创建您自己的。
我建议使用SimpleAuthenticationInfo，它实现的不仅仅是SaltedAuthenticationInfo，但可能足以满足您的需要。
有关详细信息，请参阅org.apache.shiro.authc.SimpleAuthenticationInfo。

如果您绝对需要实现自己的saltedauthenticationInfo，则应仔细遵循文档。
有关详细信息，请参阅org.apache.shiro.authc.authenticationInfo和org.apache.shiro.authc.saltedauthenticationInfo。

布尔doCredentialsMatch（AuthenticationToken,AuthenticationInfo)实际上负责身份验证逻辑。
此方法采用AuthenticationToken形式的用户提交的凭据，并将它们与以前存储的AuthenticationInfo形式的凭据进行比较。
您必须确保先将所有必要信息传递给HashCredentialMatcher（迭代、算法和SaltedAuthenticationInfo中的salt）。

伪示例使用，

final int iterations = 50000;

AuthenticationToken authToken = ...;
SaltedAuthenticationInfo saltedAuthInfo = ...;

HashedCredentialsMatcher authenticator = 
     new HashedCredentialsMatcher(Sha256Hash.ALGORITHM_NAME);
authenticator.setHashIterations(iterations);

final boolean successfulAuthentication = 
     authenticator.doCredentialsMatch(authToken, saltedAuthInfo);

有关更多信息，请参见org.apache.shiro.authc.credential.HashedCredentialsMatcher。

>

盐长度
256位盐看起来不错。有了这么大的salt，您可以最大限度地减少任何两个用户共享同一salt的风险。请记住，在挑选盐长度，生日悖论发挥作用。

迭代次数
作为经验法则，您使用的次数绝不应少于10,000次。您当前使用的是512,

String hashedPasswordBase64 = new Sha256Hash(inPassword, salt, 512).toBase64();

大多数散列算法都是极快的（包括sha256)，你不想做任何潜在的黑客任何恩惠。使用的迭代次数越多，验证的速度就会越慢，但它也会直接降低破解尝试的速度。

如果需要，您可以让每个人更改他们的密码；迫使用户选择新的（希望更强的）首选算法设置。
Unix操作系统多年来一直使用/etc/shadow来实现这一点。

这需要更多的努力，但这是值得的投资。强大的身份验证控制至关重要。