‫ساده سازی روش‌های هش کردن اطلاعات در دات‌نت 9

dotnet add package Konscious.Security.Cryptography.Argon2

public interface IPasswordHasher
{
    string Hash(string plainPassword);

    bool Verify(string plainPassword, string passwordHash);
}

using System.Globalization;
using System.Security.Cryptography;
using System.Text;
using Konscious.Security.Cryptography;

namespace ProjectName.Infrastructure.Authentication;

public sealed class PasswordHasher : IPasswordHasher
{
    /// <summary>
    /// Hash with Argon2Id
    /// </summary>
    /// <param name="plainPassword">Plain password</param>
    /// <returns>Hashed password</returns>
    public string Hash(string plainPassword)
    {
        ArgumentNullException.ThrowIfNull(plainPassword);

        const int saltSize = 16; // 128 bits
        const int hashSize = 32; // 256 bits
        var parallelism = GetRecommendedParallelism(); // Number of threads to use
        const int iterations = 4; // Number of iterations
        const int memorySize = 1024 * 256;

        var salt = new byte[saltSize];
        RandomNumberGenerator.Fill(salt);

        var hash = ComputeHash(plainPassword, salt, iterations, memorySize, parallelism, hashSize);

        return $"$argon2id$v=19$m={memorySize},t={iterations},p={parallelism.ToString(CultureInfo.InvariantCulture)}" +
               $"${Convert.ToBase64String(salt)}${Convert.ToBase64String(hash)}";
    }

    public bool Verify(string plainPassword, string passwordHash)
    {
        ArgumentNullException.ThrowIfNull(plainPassword);

        var parts = passwordHash.Split('$', StringSplitOptions.RemoveEmptyEntries);
        if (parts.Length != 5 || !parts[0].Equals("argon2id", StringComparison.Ordinal))
        {
            return false;
        }

        var paramStr = parts[2];
        var paramDict = paramStr.Split(',')
            .Select(p => p.Split('='))
            .ToDictionary(p => p[0], p => int.Parse(p[1], CultureInfo.InvariantCulture), StringComparer.Ordinal);

        var memory = paramDict["m"];
        var iterations = paramDict["t"];
        var parallelism = paramDict["p"];
        var salt = Convert.FromBase64String(parts[3]);
        var expectedHash = Convert.FromBase64String(parts[4]);

        using var argon2 = new Argon2id(Encoding.UTF8.GetBytes(plainPassword))
        {
            Salt = salt,
            MemorySize = memory,
            Iterations = iterations,
            DegreeOfParallelism = parallelism
        };

        var hash = ComputeHash(plainPassword, salt, iterations, memory, parallelism, expectedHash.Length);

        return CryptographicOperations.FixedTimeEquals(expectedHash, hash);
    }

    private static byte[] ComputeHash(string plainPassword, byte[] salt, int iterations, int memorySize, int parallelism, int hashSize)
    {
        using var argon2 = new Argon2id(Encoding.UTF8.GetBytes(plainPassword))
        {
            Salt = salt,
            Iterations = iterations,
            MemorySize = memorySize,
            DegreeOfParallelism = parallelism
        };

        return argon2.GetBytes(hashSize);
    }

    private static int GetRecommendedParallelism()
    {
        return Environment.ProcessorCount switch
        {
            <= 2 => 1,
            <= 4 => 2,
            <= 8 => 3,
            _ => Math.Min(4, Environment.ProcessorCount / 2)
        };
    }
}

$argon2id$v=19$m=262144,t=4,p=4$Salt$Hash

توضیح پارامترها

• MemorySize (m): میزان حافظه‌ای است که الگوریتم برای محاسبه هش مصرف می‌کند (بر حسب KiB). هرچه این مقدار بیشتر باشد، حملات مبتنی بر GPU، FPGA و ASIC پرهزینه‌تر می‌شوند، زیرا مهاجم برای محاسبه همزمان تعداد زیادی هش به حافظه بیشتری نیاز دارد. البته افزایش این مقدار باعث می‌شود فرآیند Login نیز زمان بیشتری صرف کند و مصرف RAM سرور افزایش یابد.
• Iterations (t): تعداد دفعات اجرای الگوریتم است. افزایش این مقدار باعث می‌شود هر بار محاسبه هش زمان بیشتری ببرد و هزینه حملات Brute Force افزایش پیدا کند.
• DegreeOfParallelism (p): تعداد Threadهایی است که Argon2 برای پردازش استفاده می‌کند. مقدار مناسب آن معمولاً به تعداد هسته‌های CPU بستگی دارد. در این نمونه مقدار آن به صورت پویا و بر اساس Environment.ProcessorCount انتخاب شده است.
• Salt: برای هر رمز عبور یک Salt تصادفی تولید می‌شود. این کار باعث می‌شود حتی اگر دو کاربر رمز عبور یکسانی داشته باشند، خروجی هش آن‌ها متفاوت باشد و حملاتی مانند Rainbow Table عملاً بی‌اثر شوند.

چرا پارامترها داخل رشته هش ذخیره می‌شوند؟

انتخاب مقادیر مناسب