In welcher Form zu speichern Salz und wie man es später für das Passwort abrufen validieren

Question

Ich benutze MD5-Algorithmus, um Passwörter mit Salz zu hacken. Nachdem ich einen Benutzer registriert habe, speichere ich sowohl Hash-Passwort als auch Salz in meiner SQL-Datenbank. Leider, wenn ich sie später abrufe, um sie mit den Eingaben des Benutzers zu vergleichen, adressiere ich ein Problem mit der Codierung von Salz. Ich speichere Salz als VARCHAR (16) und wenn ich versuche, es von meiner Datenbank abzurufen, konvertiert es in einer anderen Form. Dies ist mein Code:

ResultSet rs = stmt.executeQuery("SELECT * FROM users"); 
String DB_salt1 = rs.getString("Salt"); 
byte [] DB_salt = DB_salt1.getBytes(); 

habe ich einige System.out.println(); Funktionen, um das Problem zu lokalisieren und ich fand heraus, dass byte [] DB_salt = DB_salt1.getBytes(); gibt das falsche Salz, während String DB_salt1 = rs.getString("Salt"); die richtige eine ausgibt. Meine Vermutung ist, dass es Byte-Verlust passiert.

EDIT: Um zu klären, um die richtige Salz und das in meiner Datenbank gespeichert, sagen wir, ist [B @ 4e25154. String DB_salt1 = rs.getString("Salt"); speichert dieses Salz; der Richtige. Aber wenn byte [] DB_salt = DB_salt1.getBytes(); ausgeführt wird, gibt es eine verschiedene Salz, die den gesamten Prozess ruiniert.

Answer 1

Die beste Methode zum Speichern der Kennwörter in der Datenbank ist die Verwendung von BCrypt. Damit müssen Sie das Salz nicht lagern.

Unten ist der Beispielcode, der Bcrypt verwendet.

1) Zeichenfolge pw_hash = BCrypt.hashpw ("PLAIN PASSWORD", BCrypt.gensalt());

2) Lagern Sie die pw_hash in DB

3) if (BCrypt.checkpw ("PLAIN Passwort" pw_hash)) {System.out.println ("Erfolg Login"); } else {System.out.println ("Fehleranmeldung"); }

Die Schritte 1 und 2 werden ausgeführt, während der Benutzer das Kennwort zum ersten Mal registriert. Während Schritt 3 verwendet wird, wenn das angegebene Passwort mit dem verschlüsselten Passwort übereinstimmt.