C#　Laravel5.8と連携　パスワード　ハッシュ認証

C#でログイン認証をWeb上のMysqlからユーザーIDとPWを比較して
認証するようプログラムを作りました。

とりあえず、動くようにはなったのですが
現段階ではパスワードが平文なので、流石にマズイのでハッシュ化をしたいと思っております。

WEB側はLaravel5.7でユーザーの作成などの管理画面を作成しております。

Laravel5.7でユーザーを作るとパスワードがハッシュ化されるので

C#で作ったログイン認証画面よりハッシュ化されたパスワードを認証させたいのですが
どのようにすればよいのか？行き詰ってしまいました。

どうすれば認証させられますか？？

alg

2019/09/26 12:45

ご提示のコードの、どの部分にどのような問題がありますか？明記していただけると、回答する際に分かりやすいです。

AMK

2019/09/26 12:49

コードに問題は無いですこのコードからLaravel5.7で生成されるパスワードのハッシュ値とC#で入力されたパスワードをハッシュ化したときに同じようになる方法が知りたいです。

alg

2019/09/26 12:52

ん？　今のコードではやりたいことが実現できていないのですよね？でしたらご提示のコードには何か解決すべき「問題」があるのでは？

AMK

2019/09/26 13:00

認証先がLaravel5.7でパスワード生成していまして C#からパスワードを入力したときに、ハッシュ化されたパスワードをどうしたら認証させられるのか？が知りたいです。現状のコードは平文だと認証します。

alg

2019/09/26 13:08

ちょっと私の伝え方が良くなかったようで、あまり意図が伝わっていないようですね。「コードの何行目の○○という部分に××という問題がある」というような説明にしていただきたい、ということです。例： 46行目の `+ "' and password LIKE '" + Login_pw.Text + "'"` の部分で、`Login_pw.Text` には画面から入力されたパスワードが平文で入っています。これで一応認証はできるのですが、平文パスワードを含んだSQLを投げるのは避けたいので、Login_pw.Text のハッシュ（Laravel5.7で生成するハッシュと同じ値）をどうにかして取得したいです。

AMK

2019/09/26 13:11

スミマセン、まさにその通りです修正します

alg

2019/09/26 13:19

Zuishin

2019/09/26 13:35 編集

徳丸先生を呼ぶためにセキュリティタグをつけておいた方がいいと思います。C# の問題ではなく、データベースの中にパスワードを保存しているのがまずいですね。https を使っているなら暗号化されているので、生のパスワードを通信するのは特に問題ないと私は思いますが、パスワードの通信回数を減らすためにアクセストークンを使ってセキュリティを高める方法もよく知られています。それと、SQL を構築するのに文字列の連結を使っているのもよくありません。

AMK

2019/09/26 13:39

返答ありがとうございます。 Laravelでユーザーの管理をしたいので、デフォルトでパスワードがハッシュ化されてしまうんです＾＾； Laravelでパスワードをハッシュ化させないで保存する方法もあると思いますが勉強も兼ねてハッシュで認証する方法を知りたいと思い質問させていただきました。

Zuishin

2019/09/26 13:47

Laravel のハッシュアルゴリズムは config/hashing.php で指定されるそうです。 https://readouble.com/laravel/5.6/ja/hashing.html BCrypt ならば BCrypt.Net が使えそうです。 https://github.com/BcryptNet/bcrypt.net

AMK

2019/09/26 14:37

BCrypt.Net を実装してみましたがダメっぽかったです

Zuishin

2019/09/26 14:47

では無理なのでは？

hihijiji

2019/09/27 02:23

認証用のWebサービスをPHPで書けばいいんじゃないの？

mikkame

2019/09/27 03:56 編集

> BCrypt.Net これの使い方がおかしいのでは。 bcryptの場合、同じパスワードを使っても同じハッシュは生成されません。MD5やSHA系とは違います。 Bcryptの場合は入力されたIDと同じIDのレコードを取得してから該当のレコードにあるパスワードと入力されたパスワードをBcryptのVerifyで検証する。という手順になりますが本記事中のやつは自前でハッシュしてからSQLで一致する行を取得となっています

行動規範の内容に同意します

回答2件

php と C# の BCrypt の挙動を確認してみました。

php
1<?php
2echo password_hash('test', PASSWORD_BCRYPT);
3//$2y$10$N82Wy3pdfynU5AHRjWjHheCJsv2xCbFTj1NFAy9/WCWJLhmkMjiF2

C#
1using System;
2					
3public class Program
4{
5	public static void Main()
6	{
7		// Password was "test"
8		var hash = "$2y$10$N82Wy3pdfynU5AHRjWjHheCJsv2xCbFTj1NFAy9/WCWJLhmkMjiF2";
9		var didMatch = BCrypt.Net.BCrypt.Verify("test", hash);
10		Console.WriteLine("Password matched? {0}", didMatch);
11	}
12}
13//Password matched? True