Estou desenvolvendo um sistema ASP.NET MVC, banco de dados SQL Server, que terá controle de logins, e para encriptar a senha, eu desenvolvi as seguintes functions e procedures:
CREATE FUNCTION [dbo].[ENCRIPTA_SENHA]
(
-- Add the parameters for the function here
@SENHA VARCHAR(200)
)
RETURNS VARBINARY(200)
AS
BEGIN
DECLARE @pwd varchar(50) = 'maicongabriel', @RESULTADO VARBINARY(256)
set @RESULTADO = ENCRYPTBYPASSPHRASE(@PWD, @SENHA)
RETURN @RESULTADO
END
CREATE FUNCTION [dbo].[DECRIPTA_SENHA]
(
-- Add the parameters for the function here
@SENHA VARCHAR(200)
)
RETURNS VARCHAR(200)
AS
BEGIN
DECLARE @pwd varchar(50) = 'maicongabriel'
RETURN CAST(DECRYPTBYPASSPHRASE(@pwd,@SENHA) As VARCHAR(200))
END
CREATE PROCEDURE [dbo].[VALIDA_SENHA]
-- Add the parameters for the stored procedure here
@USUARIO VARCHAR(200), @SENHA varchar(200)
AS
BEGIN
-- SET NOCOUNT ON added to prevent extra result sets from
-- interfering with SELECT statements.
SET NOCOUNT ON;
-- Insert statements for procedure here
SELECT X.USUARIO FROM
(SELECT USUARIO, DBO.DECRIPTA_SENHA(SENHA) SENHA FROM USUARIOS_TESTE A ) AS X
WHERE X.USUARIO = @USUARIO AND X.SENHA = @SENHA
END
Quando vou fazer o insert no banco via ASP.NET MVC, eu iria fazer o mesmo mais ou menos desta forma:
INSERT INTO USUARIOS_TESTE SELECT 'daniel', dbo.ENCRIPTA_SENHA('123456')
E quando eu for processar o form do login, iria usar a minha procedure e ver se ela trouxe retorno:
VALIDA_SENHA 'DANIEL','123456'
É uma boa prática fazer desse jeito? Existe alguma forma melhor? Pois assim as senhas ficarão encriptadas no banco de dados, e no código fonte ASP.NET ficarão apenas a execução do ENCRIPTA_SENHA e do VALIDA_SENHA..