使用ColdFusion和MySQL进行密码加密

我正在寻找一些关于在我的ColdFusion/MySQL应用程序中加密/解密密码的最佳方法的帮助/建议。我应该使用MD5、SHA、BCrypt吗？我应该直接在MySQL中进行加密还是使用ColdFusion来处理它

只是想找一些帮助和一些例子，让我去

这个应用程序的安全性非常重要，因为我们将存储敏感信息

任何帮助都会很好

---

提前感谢。

如果您希望密码绝对安全，请不要使用MD5，因为它可能被破解。也不推荐SHA-1

至少使用SHA-256更安全，例如在CF中：

variables.hashedPassword = Hash(variables.Password,"SHA-256");

---

至于选择在何处进行加密，这取决于你到底想用它做什么，一次加密的密码数量，等等。如果只是一次，那就不重要了。

如果你想要密码绝对安全，不要使用MD5，因为它可能被破解。也不推荐SHA-1

至少使用SHA-256更安全，例如在CF中：

variables.hashedPassword = Hash(variables.Password,"SHA-256");

---

至于选择在何处进行加密，这取决于您希望使用它的确切用途、一次加密的密码数等。如果只是一次，则实际上并不重要。

SHA-256或更高的含盐量，或BCrypt

我会在CF层做，因为代码是源代码控制的

---

含盐的SHA-256或更高，或BCrypt

我会在CF层做，因为代码是源代码控制的

---

我使用ColdFusion进行所有的加密/解密。ColdFusion让它变得非常简单。我通常使用Blowfish加密，并让ColdFusion生成密钥值。然后在Application.cfm文件中将其设置为静态值

---

这里有更多信息：。

我使用ColdFusion进行所有的加密/解密。ColdFusion让它变得非常简单。我通常使用Blowfish加密，并让ColdFusion生成密钥值。然后在Application.cfm文件中将其设置为静态值

---

这里有更多信息：。

很高兴您关心密码的强哈希。我建议使用图书馆。科林·珀西瓦尔（Colin Percival）发明了用于tarsnap的scrypt，他在tarsnap网站上写了一篇关于scrypt的比较文章（很抱歉，由于rep<10，不能发布超过两个链接）对于其他知名且强大的PBKDF，如bcrypt和PBKDF2，从技术角度回答了为什么scrypt在使用上可能比其他PBKDF更有利的问题

我通常对加入使用加密的行列持谨慎态度，因为加密技术已经有一段时间没有出现了，并且经过了加密社区的严格审查。因此，我对使用scrypt有一点保留，因为它在这方面还是相当“新”的。我通过Twitter就这个问题咨询了安全专家，他的回答是：

@SGgrc对于将bcrypt与scrypt用于web应用程序的PBKD有何想法？[原文如此]

@geekmuse SCrypt比其他技术更能抵抗硬件加速 BCrypt。所以我想说，如果你的应用程序可以使用它，一定要使用它。：）

@SGgrc会的——谢谢你提供的信息！我唯一的犹豫是 加密社区的审查似乎不够彻底

@geekmuse明白，在加密技术中，保守是永远不可能的 错。但目前，SCrypt是最好的内存硬解决方案 可用

此外，ColdFusion的内置加密（至少是企业版）使用RSA BeSafe的库，该库现在被强烈怀疑因NSA（取决于使用哪种PRNG，但仍然…）而受到破坏，因此您通过查看一些最近发布的算法来做正确的事情

Github（Github.com/wg/scrypt）上有一个基于Java的scrypt实现，它应该非常适合在ColdFusion应用程序中使用

---

最后，虽然我知道您的问题特别提到了用户密码的强大密码，但根据您所存储的数据的敏感性，您可能还想认真考虑加密敏感数据，同时也在数据库中休息。这样，如果您的数据曾经被泄露，您可以在知道它在rest时被加密的情况下轻松地进行休息（除非您的密钥也被泄露，但您希望将其存储在与您的应用程序可以访问的实际数据库不同的位置）

您关心的是密码的强哈希，这很好。我建议使用图书馆。科林·珀西瓦尔（Colin Percival）发明了用于tarsnap的scrypt，他在tarsnap网站上写了一篇关于scrypt的比较文章（很抱歉，由于rep<10，不能发布超过两个链接）对于其他知名且强大的PBKDF，如bcrypt和PBKDF2，从技术角度回答了为什么scrypt在使用上可能比其他PBKDF更有利的问题

我通常对加入使用加密的行列持谨慎态度，因为加密技术已经有一段时间没有出现了，并且经过了加密社区的严格审查。因此，我对使用scrypt有一点保留，因为它在这方面还是相当“新”的。我通过Twitter就这个问题咨询了安全专家，他的回答是：

@SGgrc对于将bcrypt与scrypt用于web应用程序的PBKD有何想法？[原文如此]

@geekmuse SCrypt比其他技术更能抵抗硬件加速 BCrypt。所以我想说，如果你的应用程序可以使用它，一定要使用它。：）

@SGgrc会的——谢谢你提供的信息！我唯一的犹豫是 加密社区的审查似乎不够彻底

@geekmuse明白，在加密技术中，保守是永远不可能的 错。但目前，SCrypt是最好的内存硬解决方案 可用

此外，ColdFusion的内置加密（至少是企业版）使用RSA BeSafe的库，该库现在已被广泛使用