存储TOTP的密钥

Question

我希望设置我的网站(C#/SQL 2008)，允许使用Google身份验证器进行双因素身份验证。我让站点正常工作，从获得QR代码到生成前一个/当前/下一个键(如果时钟不同步，我很乐意接受3)。

显然，我们需要为每个用户生成一个秘密密钥，否则每个用户都会有相同的一次密码。

我的问题是，用于存储该密钥的最佳实践是什么？我可以将它作为纯文本存储在users表中，还是应该进行加密？

Answer 1

为什么不是varchar？据我所知，来自google的qr代码是一个字母数字字符串(您可以手工编写，以防您无法安装qr代码扫描器)

在我的个人大学项目中，我生成一个128个字符长的字母数字字符串，发送到我的自定义TOTP应用程序，我的数据库将这些信息存储为VARCHAR( 128 )，

我认为一个最佳实践答案取决于键有多大，以及如何定义键空间，而不是62个字母数字，为什么不使用整个ascii表呢？你需要把你的钥匙存储成可变字节，对吗？