在python中恢复经过加密和哈希处理的密码

Question

我已使用此方法对密码进行了加密和哈希处理：

import hashlib, uuid
salt = uuid.uuid4().hex
hashed_password = hashlib.sha512(password + salt).hexdigest()

如何反转此过程以恢复实际密码？

更新：您应该从用户那里获取一个密码，对他们的密码应用相同的盐和哈希方法，然后将其与最初的盐/哈希密码进行比较，看看它们是否匹配。这很有意义。

Answer 1

好问题。

首先：永远不要以明文形式向用户发送密码！！

出于几个原因，这被认为是一种糟糕的安全做法。

>

如果任何人能够访问用户的电子邮件帐户（gmail等），那么他们就拥有密码，可以劫持用户帐户。

其次，哈希是一种单向加密形式，您可以将密码变成乱码。哈希的最大价值在于，相同的密码总是会变成相同的胡言乱语：每次。这意味着您可以在不存储原始密码的情况下进行密码匹配。您应该散列密码而不是像AES-256那样进行双向加密的原因是，双向加密需要创建、管理和保护加密密钥，这可能很困难。对于绝大多数开发人员来说，哈希更容易、更安全。

与其通过向用户发送密码来实现密码重置，不如向用户发送一个指向安全页面的链接，他们可以在其中使用在一定时间后过期的一次性令牌重置密码。

这样，即使攻击者获得了某人的电子邮件帐户（gmail等）——他们也只能在有限的时间内造成损害。

有多种方法可以自己完成这些工作，但获得无需存储或管理的一次性令牌的一种简单方法是将用户管理卸载到Stormpath等微服务中，它会为您处理所有用户管理：密码重置、密码存储、用户配置文件、身份验证、加密、哈希等。

例如，如果您想在Flask web应用程序中实现类似的内容，可以使用Flask Stormpath库，如下所示：

from flask import Flask
from flask.ext.stormpath import StormpathManager

app = Flask(__name__)
app.config['STORMPATH_ENABLE_FORGOT_PASSWORD'] = True

stormpath_manager = StormpathManager(app)

app.listen(3000)

注意：我在Stormpath工作，但无论您使用什么，这些规则都适用，并有助于使任何应用程序更加安全。

Answer 2

哈希是一种方法，因为您只能加密（例如）字符串，然后将用户提供的哈希与应用程序生成的哈希进行比较。

然而，有一个简单的crypt，如果您想要“双向”哈希，它可能就是您想要的。

Answer 3

你没有。哈希是一种技术，它只是一种方法。这就是散列的全部要点。

如果数据库中出现信息泄漏，则从不存储原始密码以保护用户。

如果你想实施一些“密码恢复”程序，你需要像每个人一样，向有临时链接的人发送电子邮件，在发送随机生成的新密码时重置密码。