安全漏洞問題1：不安全的加密儲存

安全漏洞問題1：不安全的加密儲存
1.1. 漏洞描述
對重要資訊不進行加密處理或加密強度不夠，或者沒有安全的儲存加密資訊，都會導致攻擊者獲得重要資訊。此風險還涉及Web應用以外的安全管理。
1.2. 漏洞危害
Web應用程式沒有對敏感性資料加密或使用較弱的加密演算法（MD5 / SHA1）或將鑰儲存於容易被取得之處，使得機密資料容易被攻擊者破解，造成資料外洩。
1.3. 解決方案
目前廣泛被使用的加密演算法AES、RSA public key cryptography和SHA-256皆屬於較安全的加密演演算法；因此，在系統設計階段時，可考慮採用這些演算法，以提升資料安全保護等級。
可以採取如下手段防止存在“不安全的加密儲存“漏洞：
 對所有重要資訊進行加密；
 使用足夠強度的加密演算法，比如AES、RSA；
 儲存密碼時，用SHA-256等健壯雜湊演算法進行處理；
 產生的金鑰不能與加密資訊一起存放；
 嚴格控制對加密儲存的訪問等。
如果使用MD5演算法，應採用兩遍MD5的方式，對原始資料進行保護，如下示例：
第一遍MD5： strTmp = md5(strSuorce);
中間結果字串變形：strTmp = strTmp+”XXXX”;
第二遍MD5： strResult = md5(strTmp);