密码哈希。java未生成匹配的PBKDF2-HMAC-SHA1哈希

Question

我正在写一个Django应用程序，需要与现有的Java播放框架应用程序一起工作。Play应用程序使用PasswordHash.java来存储密码。它以冒号分隔的格式存储密码。每个哈希都存储为迭代：盐：pbkdf2_hash。

例如，下面是密码“测试”的条目：1000:f7fe4d511bcd33321747a778dd21097f4c0ff98f1e0eba39:b69139f51bc4098afc36b4ff804291b0bc697f87be9c1ced

在这里，我们可以通过：拆分字符串并找到：

迭代次数：1000

盐：f7fe4d511bcd33321747a778dd21097f4c0ff98f1e0eba39

PBKDF2哈希：b69139f51bc4098afc36b4ff804291b0bc697f87be9c1ced。

我修改了Django的check_密码机制以与此格式兼容，但发现它认为密码不正确。我用了Django的密码。py使用与Play使用的盐相同的盐为“test”重新生成哈希，并得出以下结论：

hash = crypto.pbkdf2('test', 'f7fe4d511bcd33321747a778dd21097f4c0ff98f1e0eba39', 1000, 24)
base64.b16encode(hash)
'9A8725BA1025803028ED5B92748DD61DFC2625CC39E45B91'

播放中的PBKDF2哈希与此哈希不匹配。（对于那些想知道的人，我使用24作为第四个参数，因为这是PasswordHash.java中使用的参数）。

在我无法使Django生成的哈希与Java的哈希匹配后，我在一个为你做这件事的网站上尝试了一下。

我插入了相同的盐，使用SHA-1进行了1000次迭代和24位密钥大小，发现网站与Django创建的内容相匹配！

我不确定PasswordHash是怎么回事。java，但我迫切需要得到Django和发挥“发挥得很好”（无法控制自己哈哈）。有人知道这里发生了什么吗？

Answer 1

试试salt=base64。B16解码（salt.upper（））。

我这样做了，并且在您最初的示例中得到了哈希值，尽管大写B69139F5

说明：

在初始示例中，哈希和salt都存储在Base16（十六进制）中。因此，您对salt进行解码以使用它，然后对生成的散列进行编码以将其与存储的散列进行比较。

之所以使用upper（），是因为python的b16decode对大写Base16有严格要求。如果你给它小写的，它会出错。