[mssql] Functie voor encrypt/encode?

[_Thanatos_]

Hey allen,

Ik ben eigenlijk op zoek naar een manier om in MSSQL een string te nemen en die, net als met PASSWORD() in MySQL, onomkeerbaar te coderen naar een hash-code. Ik wil nml van onze website klanten toelaten door een wachtwoord, maar ik wil ze niet als platte tekst opslaan, om veiligheidsredenen.

Je zou toch verwachten dat een dure db-server als MSSQL zoiets toch wel heeft... Ik heb in ieder geval niets in Books Online en Google kunnen vinden.

[Verwijderd]

Waarom zou je dat verwachten? een database is om data op te slaan en of jij nou een hash, cleartext of een foto van je cavia opslaat 't maakt sql server niet uit, als jij 'n hash wil maken mag je dat in je client programmatuur doen (waar het hoort)

[cameodski]

Officieel zit er in MSSQL geen encryptie mogelijkheid. Er zit echter wel een niet gedocumenteerde encryptie functie in. Je kunt die eventueel misbruiken, maar het is dus mogelijk dat het met een nieuwe versie MSSQL niet meer werkt.

Voorbeeld om te encrypten:

UPDATE [User]
SET Password = CAST (pwdencrypt (@Password) AS varbinary (256))
WHERE UserID = @UserID


Voorbeeld om vervolgens te vergelijken (komt uit een stored proc):

DECLARE @pwdCompint
SELECT @pwdComp= pwdcompare (@Password, Password, 0)
FROM [User]
WHERE Login = @Login

IF (ISNULL (@pwdComp, 0) = 0) RAISERROR ('bla bla', 16, 1)

[Annie]

Je hebt in mssql ook de mogelijkheid om eigen (extended) stored procedures te maken waarbinnen je dus je hashing algo stopt.
Andere optie is gebruik maken van de niet gedocumenteerde functies: pwdencrypt() en pwdcompare(). Risico van deze is dat niet gegarandeerd wordt dat deze ongewijzigd blijven, MS kan natuurlijk besluiten in een servicepack of nieuwe versie om de functies om te gooien.

/edit: te laat

[_Thanatos_]

Dat lijkt op zich goed te werken, dat pwdencrypt().
Alleen had ik niet verwacht dat het een binary zou worden, maarja het werkt

Dat het in een latere versie niet werkt is niet zo'n probleem. Het wordt gehost bij een provider en die zal niet zomaar zonder bericht overgaan op een nieuwe versie.

[Verwijderd]

Hmmz zit net es wat te spelen er mee, d'r zit iets randoms in pwdencrypt? (vandaar de pwdcompare ook denk ik?)

[ACM]

als pwdencrypt ongeveer net zo werkt als crypt in unix zit er een random salt bij.
Dat houdt dus in dat je het alleen kan checken als je die salt er weer bij hebt en dus zit er idd iets randoms in