前一陣做代碼評(píng)審看到某業(yè)務(wù)模塊的用戶表里password字段直接存的是MD5值加鹽都沒有。問同事為什么這么寫他的回答特別典型“這不是加密了嗎別人拿到也解不開啊?！边@個(gè)說法我聽過太多次了。MD5、BCrypt、RSA這三個(gè)詞在很多人嘴里都是“加密”但實(shí)際上它們解決的問題完全不同用錯(cuò)場(chǎng)景的后果也比想象中嚴(yán)重得多。今天就把這三個(gè)東西徹底聊透MD5本質(zhì)是什么、為什么它不適合存密碼BCrypt憑什么成為當(dāng)前密碼存儲(chǔ)的主流方案RSA在數(shù)據(jù)傳輸里到底是怎么工作的以及實(shí)際項(xiàng)目中到底該怎么選型。1. 三種加密的本質(zhì)差異摘要、慢哈希與非對(duì)稱有些概念一混后面的坑就全踩了。先明確一個(gè)大前提MD5不是加密算法。MD5的全稱是Message-Digest Algorithm 5中文叫消息摘要算法第五版它屬于哈希函數(shù)也叫散列函數(shù)。哈希函數(shù)的特征是有輸入就能算出固定長(zhǎng)度的輸出但反過來從輸出推輸入在計(jì)算上不可行。比如輸入“123456”MD5計(jì)算結(jié)果是“e10adc3949ba59abbe56e057f20f883e”這個(gè)過程只要幾十納秒但給你這段摘要你想反推出“123456”除了暴力窮舉沒有任何高效算法。從這個(gè)角度說MD5確實(shí)“解不開”但它的問題是可預(yù)測(cè)、可窮舉、可查表。BCrypt則不一樣。它也是一種哈希算法但它是專門為密碼存儲(chǔ)設(shè)計(jì)的自適應(yīng)哈希函數(shù)核心特點(diǎn)是“慢”。它的慢不是缺陷而是安全策略它通過內(nèi)置的cost factor成本因子主動(dòng)控制計(jì)算耗時(shí)讓每一次哈希計(jì)算都需要幾十毫秒甚至幾百毫秒。一個(gè)普通用戶登錄時(shí)多等幾十毫秒完全無感但攻擊者想批量破解幾十萬條密碼時(shí)總耗時(shí)會(huì)被拉長(zhǎng)到不可接受的程度。RSA更特殊它屬于非對(duì)稱加密是真正意義上的“可逆加密”。這里要提一個(gè)核心概念加密算法必須是可逆的。加密的本質(zhì)是在密鑰控制下把明文變成密文持有解密密鑰的人可以把密文還原成明文。MD5和BCrypt都做不到這一點(diǎn)它們是不可逆的單向函數(shù)。RSA的不可逆性只對(duì)沒有私鑰的人成立持有私鑰的一方可以完整解出原始數(shù)據(jù)。這一點(diǎn)決定了RSA的應(yīng)用方向它解決的是數(shù)據(jù)保密傳輸問題而不是密碼存儲(chǔ)問題。所以一張表就能說清它們的定位算法類型是否可逆核心用途典型場(chǎng)景MD5消息摘要不可逆完整性校驗(yàn)文件校驗(yàn)、接口簽名建議用更強(qiáng)算法替代BCrypt自適應(yīng)哈希不可逆密碼存儲(chǔ)用戶登錄密碼的落庫與校驗(yàn)RSA非對(duì)稱加密可逆憑私鑰數(shù)據(jù)機(jī)密性密鑰交換、敏感數(shù)據(jù)加密傳輸MD5適合的場(chǎng)景是校驗(yàn)數(shù)據(jù)有沒有被篡改BCrypt適合的場(chǎng)景是密碼驗(yàn)證RSA適合的場(chǎng)景是保證傳輸過程中數(shù)據(jù)不被竊聽。三者不是同一個(gè)賽道上的競(jìng)爭(zhēng)對(duì)手而是完全不同的三類工具。2. 為什么不能拿MD5存密碼從一次模擬“拖庫”事故說起很多團(tuán)隊(duì)還在用MD5表面上是技術(shù)選型問題本質(zhì)上是對(duì)攻擊成本沒有概念。我把一次真實(shí)的模擬演練過程拆開來講你就能直觀感受到MD5存密碼有多危險(xiǎn)。2.1 哈希速度是MD5的致命傷我用一臺(tái)普通的辦公筆記本電腦做過測(cè)試純CPU環(huán)境跑MD5每秒大約能算400萬次?？催@個(gè)數(shù)字可能沒概念換一個(gè)說法假設(shè)攻擊者拿到了一整庫的用戶密碼摘要隨便選一條用最常見的弱口令字典跑一遍也就是幾百萬個(gè)候選密碼逐一做MD5計(jì)算然后比對(duì)摘要。整個(gè)過程不到一秒鐘就能把字典里所有組合試完如果這條密碼恰好是弱口令當(dāng)場(chǎng)就能命中。更可怕的是數(shù)字升級(jí)能力。普通電腦上用支持MD5的專用破解設(shè)備或者GPU加速庫每秒可以跑到幾十億次甚至上百億次。在這個(gè)速度面前8位以內(nèi)純數(shù)字的密碼組合1秒內(nèi)必被掃穿8位小寫字母加數(shù)字的組合也就撐幾個(gè)小時(shí)的暴力窮舉。這根本不是“夠不夠安全”的討論而是“能不能撐過當(dāng)天晚上”的問題。反觀BCrypt在同一臺(tái)電腦上跑一次計(jì)算大約需要80毫秒換算下來每秒只能算十來次。就算攻擊者拿到庫里所有摘要想要把字典跑完時(shí)間代價(jià)會(huì)放大幾十萬倍。這就是“慢哈?！钡暮诵膬r(jià)值讓攻擊者的算力優(yōu)勢(shì)清零。2.2 彩虹表與加鹽有人會(huì)說“那我給MD5加鹽不就行了”加鹽確實(shí)有效但它解決的是另一個(gè)問題彩虹表攻擊。彩虹表是預(yù)先生成好的“密碼→摘要”映射表攻擊者可以提前把上億條常見組合的MD5值算好存起來拿庫里的摘要一對(duì)就知道密碼是什么。加鹽之后每條摘要都加入了隨機(jī)字符串同一個(gè)密碼在不同用戶下會(huì)產(chǎn)生不同摘要彩虹表直接失效。但加了鹽的MD5仍然有問題。鹽通常只增加20-30位隨機(jī)數(shù)據(jù)以當(dāng)前算力攻擊者拿到鹽之后可以對(duì)目標(biāo)用戶做單點(diǎn)窮舉。說的直白一點(diǎn)如果某個(gè)賬號(hào)的鹽是固定存儲(chǔ)的攻擊者對(duì)這條記錄跑字典攻擊速度依然是每秒幾百萬次只不過因?yàn)榧欲}需要重新計(jì)算總時(shí)間會(huì)比無鹽時(shí)稍長(zhǎng)但依然遠(yuǎn)遠(yuǎn)不夠安全。核心問題始終沒有解決MD5太快了。2.3 破解MD5密碼的實(shí)際路徑從一個(gè)攻擊視角看拿到MD5摘要之后破解流程大概是這樣的判斷摘要格式32位十六進(jìn)制字符串基本可以確認(rèn)是MD5。直接在線查詢把摘要丟到現(xiàn)成的MD5反查庫中撞庫命中率對(duì)于弱口令非常高。跑本地字典用rockyou等常見密碼字典一條條算MD5比對(duì)。暴力窮舉對(duì)短密碼、數(shù)字類密碼做全量掃描。規(guī)則變形在字典基礎(chǔ)上加后綴、改大小寫、插入生日數(shù)字這部分靠哈希速度做支撐。整個(gè)過程沒有用到任何破解“加密算法”的高級(jí)技巧純粹是算力碾壓。MD5的設(shè)計(jì)目標(biāo)本來就是速度它誕生于1991年那時(shí)候的計(jì)算機(jī)算力和今天完全不在一個(gè)量級(jí)。拿30多年前為速度而生的算法來保護(hù)今天的密碼等同把家門鑰匙掛在門牌號(hào)下面誰來都能開門進(jìn)去。注意不要再在新系統(tǒng)里用MD5做密碼哈希哪怕是加鹽的MD5。判斷標(biāo)準(zhǔn)很簡(jiǎn)單一個(gè)密碼校驗(yàn)過程在服務(wù)端耗時(shí)是否達(dá)到50毫秒以上。達(dá)不到就說明算法選錯(cuò)了。3. BCrypt正確打開方式參數(shù)選擇與落地配置BCrypt是當(dāng)前存儲(chǔ)密碼最穩(wěn)妥的常見選擇之一它從設(shè)計(jì)之初就假定攻擊者算力強(qiáng)大因此故意把計(jì)算拉慢。要做到“安全且不那么影響體驗(yàn)”關(guān)鍵在參數(shù)。3.1 BCrypt的鹽是自動(dòng)處理的很多人習(xí)慣“密碼哈希算法(密碼鹽)”但BCrypt的用法完全不同。BCrypt生成的字符串自帶鹽而且鹽是明文嵌在哈希結(jié)果里的。調(diào)用BCrypt校驗(yàn)時(shí)只需要把存儲(chǔ)的哈希字符串和用戶輸入的密碼傳進(jìn)去算法會(huì)自動(dòng)從哈希串中提取鹽重新計(jì)算再跟存儲(chǔ)值比對(duì)。一個(gè)典型的BCrypt哈希長(zhǎng)這樣$2a$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy拆開看$2a$是算法版本標(biāo)識(shí)10是cost factor緊接著的22個(gè)字符是鹽后面的字符串是真正的哈希值。整個(gè)過程不需要開發(fā)者在數(shù)據(jù)庫里單獨(dú)開一個(gè)salt字段也不需要自己生成隨機(jī)字符串省事很多。這一點(diǎn)對(duì)新手極其友好也減少了一個(gè)很容易犯的錯(cuò)誤把鹽寫死在代碼里。BCrypt自動(dòng)管理鹽天然規(guī)避了這個(gè)問題。3.2 cost factor選多少?gòu)乃懔嵌炔鸾鈉ost factor是BCrypt的核心調(diào)優(yōu)參數(shù)它決定計(jì)算迭代次數(shù)。數(shù)學(xué)關(guān)系是迭代次數(shù) 2 的 cost 次方。cost10時(shí)做1024輪cost12時(shí)做4096輪每增加1耗時(shí)翻倍。那么應(yīng)該選多少我慣用的流程是先在本機(jī)跑一個(gè)基準(zhǔn)測(cè)試# 以Python為例快速測(cè)速 python -c import bcrypt, time for cost in [10, 11, 12, 13]: start time.time() for _ in range(10): bcrypt.hashpw(btest, bcrypt.gensalt(roundscost)) print(cost, (time.time()-start)/10*1000, ms) 不同機(jī)器結(jié)果不一樣大致可以參考我的MBP上cost10時(shí)單次哈希約65毫秒cost12時(shí)約260毫秒cost14時(shí)已經(jīng)到了秒級(jí)。選擇標(biāo)準(zhǔn)是服務(wù)端高峰期CPU能承受、用戶等待可接受即可。個(gè)人建議在常規(guī)Web項(xiàng)目里從cost10起步壓測(cè)時(shí)如果發(fā)現(xiàn)CPU占用過高再上調(diào)或下調(diào)。有一個(gè)反直覺的細(xì)節(jié)值得注意cost過低時(shí)BCrypt和MD5的區(qū)別被削弱失去抗暴力破解的意義但cost過高時(shí)用戶體驗(yàn)會(huì)明顯變差而且在惡意攻擊下攻擊者可以大量請(qǐng)求登錄接口消耗服務(wù)器CPU形成變相的拒絕服務(wù)攻擊。所以不是越大越好需要平衡。Java里常見的Spring Security配置是這樣BCryptPasswordEncoder encoder new BCryptPasswordEncoder(10); String encoded encoder.encode(user_password); boolean matched encoder.matches(user_password, encoded);Python里也很簡(jiǎn)潔import bcrypt hashed bcrypt.hashpw(buser_password, bcrypt.gensalt(rounds10)) ok bcrypt.checkpw(buser_password, hashed)3.3 BCrypt的輸入長(zhǎng)度限制與額外防護(hù)BCrypt有一個(gè)很少被注意到的硬限制它只處理前72字節(jié)的輸入超過部分會(huì)被直接忽略。也就是說如果用戶密碼超過72字節(jié)后面輸入再多也不會(huì)參與哈希計(jì)算。對(duì)絕大多數(shù)人來說72字節(jié)夠用了因?yàn)槠胀艽a最多二三十個(gè)字符但如果你做的是國(guó)際化產(chǎn)品允許用戶填寫很長(zhǎng)很復(fù)雜的密碼甚至把整句話當(dāng)密碼就要注意這個(gè)邊界。兩種做法可以解決一是在加密前直接限制密碼最大長(zhǎng)度比如最多64字節(jié)二是在BCrypt之前先做一次SHA-256再把SHA-256的原始字節(jié)丟給BCrypt。第二種方式兼容性不錯(cuò)但要注意必須先取原始字節(jié)而不是十六進(jìn)制字符串否則長(zhǎng)度會(huì)翻倍依然可能超出限制。另一個(gè)實(shí)用的經(jīng)驗(yàn)是不要把“密碼是否匹配”和“賬號(hào)是否存在”的響應(yīng)區(qū)別得太明顯。如果登錄時(shí)“賬號(hào)不存在”和“密碼錯(cuò)誤”返回不同的提示攻擊者可以借此枚舉賬號(hào)。業(yè)界常用的做法是統(tǒng)一提示“賬號(hào)或密碼錯(cuò)誤”。雖然BCrypt本身不會(huì)泄露賬號(hào)狀態(tài)但響應(yīng)層面的信息泄露往往被忽略。密碼存儲(chǔ)是一個(gè)縱深防御的問題除了選對(duì)算法還要注意其他部分密碼復(fù)雜度策略、登錄接口限流、異常登錄告警、定期強(qiáng)制更新高?？诹?。BCrypt解決的是密碼落庫后“即使拖庫也難以破解”的問題但它抗不了弱密碼本身也抗不了用戶把密碼寫在便利貼上這種物理泄露。4. RSA與數(shù)據(jù)傳輸從密鑰對(duì)生成到混合加密實(shí)踐RSA是公鑰密碼體系的代表它和對(duì)稱加密的最大區(qū)別在于加密和解密用的是兩把不同的鑰匙一把公開一把私藏。這個(gè)特性讓它在數(shù)據(jù)傳輸場(chǎng)景中顯得特別重要。4.1 公鑰加密、私鑰解密的流程先理解一個(gè)最直觀的用法。假設(shè)服務(wù)端要給某個(gè)客戶端傳輸一段敏感數(shù)據(jù)客戶端可以先把自己的公鑰發(fā)給服務(wù)端服務(wù)端用這個(gè)公鑰加密數(shù)據(jù)密文到達(dá)客戶端之后客戶端用私鑰解密整個(gè)過程中沒有任何人能看到明文。這里有個(gè)關(guān)鍵點(diǎn)公鑰是公開的誰都可以拿到但即使拿到了公鑰也無法推出私鑰。RSA的安全性建立在“大整數(shù)分解”的數(shù)學(xué)難題之上給定一個(gè)大合數(shù)要把它分解成兩個(gè)大質(zhì)數(shù)在當(dāng)前算力下極其困難。密鑰長(zhǎng)度越長(zhǎng)分解難度指數(shù)級(jí)上升。以RSA-2048為例要分解一個(gè)2048位的整數(shù)地球上目前沒有任何公開的算力可以在可行時(shí)間內(nèi)完成。這就是RSA能保護(hù)傳輸數(shù)據(jù)的根基。4.2 密鑰長(zhǎng)度與數(shù)據(jù)長(zhǎng)度的限制關(guān)于RSA有一個(gè)常見的認(rèn)知誤區(qū)以為RSA和AES一樣可以加密任意長(zhǎng)度的數(shù)據(jù)。實(shí)際上RSA對(duì)明文長(zhǎng)度有嚴(yán)格限制。以2048位密鑰為例RSA一次能加密的明文最大長(zhǎng)度是密鑰長(zhǎng)度(字節(jié)) - 填充占用(字節(jié))如果用PKCS#1 v1.5填充每個(gè)塊要占11字節(jié)的開銷那么最大明文長(zhǎng)度 2048 / 8 - 11 245字節(jié)。如果用OAEP填充推薦SHA-1時(shí)開銷為42字節(jié)最大明文長(zhǎng)度是214字節(jié)SHA-256時(shí)開銷更多最大明文190字節(jié)左右。超過這個(gè)長(zhǎng)度就必須把數(shù)據(jù)進(jìn)行分段加密每段分別用RSA加密再拼接性能極差。所以真實(shí)業(yè)務(wù)里幾乎不會(huì)用RSA直接加密業(yè)務(wù)數(shù)據(jù)而是采用混合加密。經(jīng)典的HTTPS握手就是這么做的客戶端生成一個(gè)臨時(shí)的對(duì)稱密鑰實(shí)際是Pre-Master Secret。客戶端用服務(wù)器的RSA公鑰加密這個(gè)臨時(shí)對(duì)稱密鑰發(fā)送給服務(wù)器。服務(wù)器用RSA私鑰解密得到臨時(shí)對(duì)稱密鑰。后續(xù)所有業(yè)務(wù)數(shù)據(jù)都用這個(gè)對(duì)稱密鑰配合AES算法加密傳輸。這樣做的理由很好理解對(duì)稱加密AES加解密速度快可以處理任意長(zhǎng)度數(shù)據(jù)但存在密鑰分發(fā)問題RSA解決密鑰分發(fā)但速度慢、長(zhǎng)度受限。把兩者結(jié)合各取所長(zhǎng)就是日常所有加密通信的基本套路。4.3 RSA的實(shí)際代碼操作與坑假設(shè)你寫了一個(gè)接口要給第三方傳遞保單數(shù)據(jù)又不方便走HTTPS常見做法是約定RSA公鑰加密。用Java實(shí)現(xiàn)時(shí)大致是這樣// 讀取對(duì)方公鑰 PublicKey publicKey readPublicKey(publicKeyPemText); Cipher cipher Cipher.getInstance(RSA/ECB/PKCS1Padding); cipher.init(Cipher.ENCRYPT_MODE, publicKey); byte[] encrypted cipher.doFinal(plainData);接收方解密PrivateKey privateKey readPrivateKey(privateKeyPemText); Cipher cipher Cipher.getInstance(RSA/ECB/PKCS1Padding); cipher.init(Cipher.DECRYPT_MODE, privateKey); byte[] decrypted cipher.doFinal(base64Decoded(encrypted));看起來簡(jiǎn)單但坑非常多。最常見的坑包括第一個(gè)坑加密結(jié)果要Base64編碼。RSA加密后得到的密文是二進(jìn)制數(shù)據(jù)直接轉(zhuǎn)成UTF-8字符串必然亂碼。必須用Base64做文本化編碼傳輸?shù)綄?duì)端再解碼。很多新手在這個(gè)環(huán)節(jié)卡半天還以為是RSA解不開。第二個(gè)坑密鑰和加密公鑰的格式解析。不同語言生成RSA密鑰的格式有差異。Java默認(rèn)生成的X.509格式公鑰可以直接用getPublicKey讀但如果對(duì)方發(fā)的PEM格式帶了-----BEGIN PUBLIC KEY-----頭就需要先把頭尾去掉做Base64解碼后再通過KeyFactory生成。第三個(gè)坑分段加密問題。上面提到的245字節(jié)限制直接作用就是如果業(yè)務(wù)字段超過這個(gè)長(zhǎng)度doFinal會(huì)拋DataLengthMustBeLessThanModulus異常。很多項(xiàng)目在測(cè)試階段功能正常一上線傳了長(zhǎng)文本就爆。解決辦法就是改用混合加密或者對(duì)字段長(zhǎng)度做強(qiáng)制校驗(yàn)。第四個(gè)坑私鑰權(quán)限保護(hù)。RSA私鑰一旦泄露所有用它加密過的歷史數(shù)據(jù)都存在風(fēng)險(xiǎn)因?yàn)樗梢越獬鏊借€對(duì)應(yīng)的所有密文。私鑰文件在生產(chǎn)環(huán)境必須做嚴(yán)格權(quán)限控制不能放進(jìn)代碼倉(cāng)庫也不能打日志打印。正確的做法是把私鑰放在專用密鑰管理服務(wù)中應(yīng)用運(yùn)行時(shí)通過接口讀取。4.4 推薦的混合加密實(shí)現(xiàn)思路如果業(yè)務(wù)量不大但確實(shí)有敏感數(shù)據(jù)傳輸需求AESRSA混合加密在應(yīng)用層的實(shí)現(xiàn)思路如下每次加密時(shí)隨機(jī)生成一個(gè)AES密鑰用AES-GCM加密業(yè)務(wù)數(shù)據(jù)得到密文和認(rèn)證標(biāo)簽。用接收方的RSA公鑰加密這個(gè)AES密鑰。把“加密后的AES密鑰”和“AES密文”一起傳給接收方JSON字段分別叫encrypted_key和payload。接收方先用RSA私鑰解密出AES密鑰再用AES密鑰解密業(yè)務(wù)數(shù)據(jù)。這樣做的好處是業(yè)務(wù)數(shù)據(jù)大小不受RSA限制加密性能也遠(yuǎn)遠(yuǎn)優(yōu)于純RSA同時(shí)RSA只負(fù)責(zé)保護(hù)體積很小的對(duì)稱密鑰安全性也得到保證。這也是項(xiàng)目里最穩(wěn)妥的長(zhǎng)期方案。5. 常見問題速查與選型決策表寫到這里把我在實(shí)際項(xiàng)目中遇到的高頻問題和決策經(jīng)驗(yàn)統(tǒng)一整理一下方便大家直接對(duì)照。5.1 高頻率踩坑問題問題原因解決方案登錄校驗(yàn)總是通不過BCrypt哈希里帶了鹽比對(duì)時(shí)必須用checkpw/matches不能直接比較哈希字符串確認(rèn)代碼調(diào)用的是比對(duì)函數(shù)而不是字符串相等BCrypt存入數(shù)據(jù)庫報(bào)錯(cuò)哈希串長(zhǎng)度60個(gè)字符部分?jǐn)?shù)據(jù)庫字段定義為varchar(32)字段長(zhǎng)度改成varchar(64)或更長(zhǎng)RSA加密后一頓亂碼沒做Base64編碼把二進(jìn)制密文當(dāng)字符串傳輸加密后Base64編碼文本化解密前先解碼RSA報(bào)DataLengthMustBeLessThanModulus單次加密數(shù)據(jù)超過密鑰上限改用混合加密或?qū)ψ侄巫鲩L(zhǎng)度限制并用分段加密加鹽MD5還被破解哈希太快加鹽只擋彩虹表擋不住暴力窮舉換BCrypt等慢哈希方案別再優(yōu)化速度密碼哈希結(jié)果每次都不一樣這正是BCrypt的正常行為因?yàn)辂}隨機(jī)生成不要慌校驗(yàn)函數(shù)內(nèi)部會(huì)自己處理鹽5.2 選型時(shí)想清楚三件事第一個(gè)問題是“數(shù)據(jù)需要還原嗎”。需要還原的選對(duì)稱加密如AES或非對(duì)稱加密如RSA不需要還原只做比對(duì)的選哈希方案BCrypt優(yōu)先。第二個(gè)問題是“誰要解這個(gè)數(shù)據(jù)”。如果只有接收方自己能解RSA或AES都行如果需要雙方各自持有一把不同鑰匙非對(duì)稱加密是唯一選擇。第三個(gè)問題是“被破解的代價(jià)有多大”。用戶密碼這種一旦泄露就是大范圍安全事件的數(shù)據(jù)必須用BCrypt臨時(shí)性的、低敏感的接口簽名用HMAC-SHA256就夠不必上RSA。5.3 關(guān)于MD5的一點(diǎn)公正評(píng)價(jià)說MD5不適合存密碼不等于MD5毫無用途。它在完整性校驗(yàn)領(lǐng)域仍然有歷史地位比如下載文件時(shí)對(duì)比MD5值確認(rèn)文件沒有損壞。但即便是完整性校驗(yàn)今天也建議優(yōu)先用SHA-256或SHA-3因?yàn)镸D5碰撞問題已經(jīng)被公開證明攻擊者可以構(gòu)造兩個(gè)不同內(nèi)容但MD5相同的文件這在安全攸關(guān)的校驗(yàn)場(chǎng)景中是致命的。自2011年之后大部分CA機(jī)構(gòu)就不再信任MD5簽名的證書了。說句實(shí)在話新寫代碼時(shí)遇到MD5就直接打問號(hào)絕大部分場(chǎng)景都有更好的替代方案。真正非MD5不可的現(xiàn)代業(yè)務(wù)我還沒遇到過。6. 實(shí)操場(chǎng)景復(fù)盤與經(jīng)驗(yàn)總結(jié)去年某項(xiàng)目接手一套老系統(tǒng)用戶表里上百萬條密碼全都是加鹽MD5。當(dāng)時(shí)沒法一鍵全量遷移到BCrypt因?yàn)锽Crypt校驗(yàn)必須重新用密碼原文算而原文已經(jīng)不在了。最后采用漸進(jìn)遷移策略登錄時(shí)先拿用戶輸入的密碼先做MD5校驗(yàn)如果MD5比對(duì)通過立即用這一次輸入的明文密碼重新生成BCrypt哈希并更新數(shù)據(jù)庫下一次登錄走BCrypt校驗(yàn)。一個(gè)多月后活躍用戶就全部遷移到了BCrypt。這個(gè)方案不用發(fā)密碼重置郵件也不用改用戶邏輯體驗(yàn)平滑到幾乎無感。另一件事也和RSA有關(guān)。某個(gè)對(duì)接項(xiàng)目里對(duì)方要求用RSA加密請(qǐng)求體結(jié)果他們給的公鑰是2048位的而我方傳的參數(shù)卻以JSON字符串整體加密明文長(zhǎng)度輕松超過200字節(jié)。聯(lián)調(diào)時(shí)報(bào)錯(cuò)之后雙方第一反應(yīng)都是“對(duì)方RSA實(shí)現(xiàn)有問題”花了不少時(shí)間才定位到是數(shù)據(jù)長(zhǎng)度超標(biāo)。后來我把方案改成請(qǐng)求體先用AES-GCM加密再用RSA加密AES密鑰問題就再?zèng)]出現(xiàn)過。這個(gè)經(jīng)驗(yàn)我見到類似的對(duì)接問題就一定會(huì)提一遍。這三種算法的選擇看似復(fù)雜歸根到底就是一句話想清楚數(shù)據(jù)要不要還原、誰需要還原、被還原后的代價(jià)有多大。密碼存儲(chǔ)選慢哈希BCrypt數(shù)據(jù)傳輸選非對(duì)稱加密RSA加上對(duì)稱加密AES的混合方案完整性校驗(yàn)選SHA-256系。每種算法都有自己的生態(tài)位選對(duì)了就是安心的保障選錯(cuò)了就是埋雷。最后分享一個(gè)我自己的習(xí)慣每次接新項(xiàng)目第一件事就是檢查現(xiàn)有代碼的哈希算法和加密方案看到MD5存密碼就標(biāo)記為高優(yōu)先級(jí)技術(shù)債看到RSA分塊加密大數(shù)據(jù)就標(biāo)記為重構(gòu)項(xiàng)。這些細(xì)節(jié)平時(shí)不顯山不露水一旦出事都是大事故。早點(diǎn)把它修好比任何事后補(bǔ)救都省心。