Почему не стоит хранить пароли в базе данных?

Question

[Stepgor]

Почему не стоит так делать? Ведь получить данные из mongodb можно только с авторизацией или только на локальной машине. И два условия:
1. Доступ к серверу только у одного человека.
2. Писать код который отправляет пароли я не буду.

Answer 1

[Владислав Лысков]

Пароли нужно хранить в бд, только не пароли, а их хэш, потому что базу могут угнать, над проектом может работать не один человек, один из которых может базу угнать, и куча других причин

Answer 2

[StarCatSTT]

Взломали хостинг, получили файлы, получили пароли.
В БД лучше хранить хеши паролей и сравнивать с хешем того что ввел юзер.

1. Доступ к серверу только у одного человека.

В таком случаи можно хранить пароли в чистом виде, но такой ситуации не бывает. Всегда есть возможность обмануть систему.

Comments

[Stepgor]

То есть в идеале хранить хеши паролей, нужные данные шифровать, а директории с серверами надо зашифровывать? + Fail2ban и тд

[StarCatSTT]

Да, хранить хеши и использовать хороший алгоритм (например sha256).
На счет директорий - точно сказать не могу, не смотрел, не пробовал.

[Lynn «Кофеман»]

StarCatSTT, для хешей паролей лучше всё-таки использовать специализированные хеши — argon2, bcrypt и т.п.