EDIT: Do not use the Membership Provider as-is because it is horridly inadequate in terms of protecting user's passwords

поиск в Google "алгоритм хэширования поставщика членства" в качестве первого результата приводит этот ответ, и, как следует из Евангелия, я должен предупредить людей об использовании провайдера членства, подобного этому, и об использовании хешей, таких как SHA-1, MD5 и т. д., для запутывания паролей в базах данных.

tl;dr

Используйте функцию получения ключа, такую как bcrypt, scrypt или (если вам нужно соответствие FIPS) PBKDF2 с рабочим фактором, достаточным для того, чтобы время хеширования одного пароля было близко к 1000 мс или более.

В наши дни хэши легко перебрать с помощью многочисленных примеров взлома данных в недавней истории. Чтобы пароли вашего пользователя не попали на pastebin при следующем взломе, убедитесь, что пароли хешируются с помощью функции, которая принимаетsufficiently long time to compute!

Вместо поставщика членства, попробуйтеIdentityReboot илиновые реализации от Microsoft, о которых говорит Трой Хант по крайней мере.

Также интересно, что на тех же самых результатах Google, упомянутых выше, я нахожуучебник, показывающий людям, как просто взломать эти хэши паролей, используя популярные инструменты, такие как JtR или Hashcat. На настраиваемой графической платформе SHA1 можно взломать наошеломляющий показатель 48867million hashes per second! С бесплатным словарем, какRockyou или тому подобноеу мотивированного человека с вашей базой данных очень скоро будут пароли большинства ваших пользователей. Как разработчик, вы несете этическую ответственность за то, чтобы делать то, что необходимо для защиты безопасности ваших пользователей ». пароли.

Хеширование по умолчанию - SHA1, но они также солят это и base64 это:

public string EncodePassword(string pass, string salt)
{
    byte[] bytes = Encoding.Unicode.GetBytes(pass);
    byte[] src = Encoding.Unicode.GetBytes(salt);
    byte[] dst = new byte[src.Length + bytes.Length];
    Buffer.BlockCopy(src, 0, dst, 0, src.Length);
    Buffer.BlockCopy(bytes, 0, dst, src.Length, bytes.Length);
    HashAlgorithm algorithm = HashAlgorithm.Create("SHA1");
    byte[] inArray = algorithm.ComputeHash(dst);
    return Convert.ToBase64String(inArray);
}

Если вы хотите узнать больше о том, как изменить его, мне все равно нужно это выяснить (если только вы не пользуетесь специальным провайдером, см. Ниже), однако SHA-1 сейчас довольно хорош. Если вы хотите изменить это или посмотреть на это, эти ребята поработали над этим:http://forums.asp.net/p/1336657/2899172.aspx

Этот вопрос SO поможет изменить или дублировать эту технику, если это то, что может понадобиться.Переопределение членства в ASP.NET и хеширования паролей пользователей в Ruby

Если вы делаете собственного провайдера, вы можете создавать свои алгоритмы и методы хеширования и шифрования.

private byte[] ConvertPasswordForStorage(string Password)
      {
         System.Text.UnicodeEncoding ue = 
      new System.Text.UnicodeEncoding();
         byte[] uePassword = ue.GetBytes(Password);
         byte[] RetVal = null;
         switch (_PasswordFormat)
         {
            case MembershipPasswordFormat.Clear:
               RetVal = uePassword;
               break;
            case MembershipPasswordFormat.Hashed:

               HMACSHA1 SHA1KeyedHasher = new HMACSHA1();
               SHA1KeyedHasher.Key = _ValidationKey;
               RetVal = SHA1KeyedHasher.ComputeHash(uePassword);
               break;
            case MembershipPasswordFormat.Encrypted:
               TripleDESCryptoServiceProvider tripleDes = new 
       TripleDESCryptoServiceProvider();
               tripleDes.Key = _DecryptionKey;
               tripleDes.IV = new byte[8];
               MemoryStream mStreamEnc = new MemoryStream();
               CryptoStream cryptoStream = new CryptoStream(mStreamEnc, 
        tripleDes.CreateEncryptor(), 
      CryptoStreamMode.Write);

               cryptoStream.Write(uePassword, 0, uePassword.Length);
               cryptoStream.FlushFinalBlock();
               RetVal = mStreamEnc.ToArray();
               cryptoStream.Close();
               break;

         }
         return RetVal;
      }

private string GetHumanReadablePassword(byte[] StoredPassword)
      {
         System.Text.UnicodeEncoding ue = new System.Text.UnicodeEncoding();
         string RetVal = null;
         switch (_PasswordFormat)
         {
            case MembershipPasswordFormat.Clear:
               RetVal = ue.GetString(StoredPassword);
               break;
            case MembershipPasswordFormat.Hashed:
               throw new ApplicationException(
        "Password cannot be recovered from a hashed format");

            case MembershipPasswordFormat.Encrypted:
               TripleDESCryptoServiceProvider tripleDes = 
        new TripleDESCryptoServiceProvider();
               tripleDes.Key = _DecryptionKey;
               tripleDes.IV = new byte[8];
               CryptoStream cryptoStream = 
        new CryptoStream(new MemoryStream(StoredPassword), 
      tripleDes.CreateDecryptor(), CryptoStreamMode.Read);
               MemoryStream msPasswordDec = new MemoryStream();
               int BytesRead = 0;
               byte[] Buffer = new byte[32];
               while ((BytesRead = cryptoStream.Read(Buffer, 0, 32)) > 0)
               {
                  msPasswordDec.Write(Buffer, 0, BytesRead);

               }
               cryptoStream.Close();

               RetVal = ue.GetString(msPasswordDec.ToArray());
               msPasswordDec.Close();
               break;
         }
         return RetVal;
      }

http://msdn.microsoft.com/en-us/library/aa479048.aspx