ฉันต้องการอนุญาตให้ผู้ใช้ระบุรหัสผ่านเป็นข้อมูลสำหรับบางคน พีบีเคดีเอฟซึ่งฉันจะใช้เพื่อสร้างคีย์สำหรับการเข้ารหัสไฟล์ (ปัจจุบันใช้ aes-256-ctr อาจมีการเปลี่ยนแปลงเมื่อฉันเรียนรู้เพิ่มเติม)
ฉันกำลังพิจารณาใช้ scrypt ฉันจำเป็นต้องทำการหลบหนี ฆ่าเชื้อ หรือตรวจสอบข้อมูลอื่นๆ ของผู้ใช้ที่ฉันจะส่งไปเข้ารหัสหรือไม่
โดยทั่วไปแล้ว PBKDF จำเป็นต้องมีการตรวจสอบความปลอดภัยจากอินพุตที่ผู้ใช้ป้อนให้หรือไม่
ไม่ คุณไม่จำเป็นต้องทำการ Escape หรือล้างข้อมูลที่คุณส่งผ่านในฐานะผู้ใช้ป้อนข้อมูลไปยังฟังก์ชันเหล่านี้ พวกเขายอมรับลำดับไบต์ตามอำเภอใจ ดังนั้นลำดับไบต์ใดก็ได้ที่คุณส่งผ่านจึงยอมรับได้ และไม่ควรมีความเสี่ยงด้านความปลอดภัยอันเป็นผลมาจากลำดับดังกล่าว โดยทั่วไป อัลกอริทึมการเข้ารหัสทำงานบนลำดับไบต์ตามอำเภอใจ (อาจมีขนาดเฉพาะ) และไม่ต้องการการ Escape มาตรฐานหรือการฆ่าเชื้อเพื่อความปลอดภัย (แม้ว่าอาจต้องมีการเติม ช่วง หรือการตรวจสอบประเภทอื่นๆ) และระบบที่ใช้ข้อมูลอาจต้องการ นี้.
อย่างไรก็ตาม หากคุณยอมรับรหัสผ่านที่มีอักขระที่ไม่ใช่ ASCII คุณอาจต้องการทำ Unicode ให้เป็นมาตรฐานในสตริง (อาจเป็น NFC) เนื่องจากมักมีหลายวิธีในการแสดงอักขระตรรกะเดียวกัน ตัวอย่างเช่น คุณสามารถแสดง "é" เป็นจุดโค้ดเดียว (U+00E9) หรือเป็นโค้ดพอยต์สองจุด (U+0065 U+0301) และการทำให้เป็นมาตรฐานจะเขียนสิ่งเหล่านี้ใหม่เป็นสตริงเดียวกัน อีกครั้ง ไม่มีปัญหาด้านความปลอดภัยในเรื่องนี้ แต่เนื่องจากผู้ใช้จะคิดว่ารหัสผ่านทั้งสองนี้เหมือนกันเมื่อมีลำดับไบต์ต่างกัน การดำเนินการทำให้เป็นมาตรฐานทำให้ระบบของคุณสามารถคิดว่ารหัสผ่านเหล่านี้เป็นรหัสผ่านเดียวกันได้เช่นกัน
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
