SQL Server 2005 登入密碼雜湊機制深度解析：SHA-1、大小寫敏感與安全建議

核心觀念：雜湊 ≠ 加密

• 加密： 可逆，持鑰可解密還原明文。
• 雜湊： **單向不可逆**，極難從雜湊值推導明文 (除非已知明文碰撞)。**無需保護金鑰**，安全性更高。
• SQL Server **儲存雜湊值**，驗證時將輸入密碼雜湊後比對。**找到不同密碼產生相同雜湊 (碰撞) 極難**，但弱密碼易被字典攻擊破解。

演算法演進史

大小寫不敏感的安全代價

SQL 2000 同時儲存 HASH(pwd) 與 HASH(UPPER(pwd)) → **有效字典空間減半** → 破解難度大降。**SQL 2005 果斷移除**，強制大小寫敏感，大幅提升暴力破解成本。

雜湊值應用場景極少

• 主用於 CREATE LOGIN ... WITH PASSWORD = 0x... HASHED (跨伺服器同步帳號密碼)。
• ALTER LOGIN ... WITH PASSWORD = 0x... HASHED (SP2+)。
• **除非萬不得已 (遷移/同步)，勿直接操作雜湊值。**

升級與相容性

• SQL 2005 **不再支援 SQL 6.5 雜湊格式**。
• 2000 大小寫不敏感特性在 2005 移除。
• 7.0 → 2005 升級時，成功登入或 ALTER LOGIN ... WITH OLD_PASSWORD 觸發雜湊格式轉換為 2005 格式。

密碼防護建議

1. 選擇**不在任何字典中**的複雜密碼 (長度、大小寫、數字、符號混合)。
2. 搜尋 "how to choose a password" 參考最佳實踐。
3. 定期輪換、嚴禁重複使用、啟用鎖定策略。

雖 SHA-1 已被理論碰撞攻擊破解，但理解 SQL Server 密碼儲存機制、演進邏輯與配置建議，對資安防禦與合規稽核仍具核心價值。

1. 上一篇文章： 解決 SQL Server 記憶體耗盡導致系統死機：動態管理機制與上限配置實操
2. 下一篇文章： SQL Server 連結 VFP 資料庫實作：Linked Server + ODBC 異構互連

關於SqlServer

SQL Server 資料庫快照優化原理與實務

資料庫快照建立資料庫的靜態唯讀檢視，適用報表、稽核、還原測試

SQL Server 2008 服務啟動失敗排查全記錄：從衝突偵測到授權過期

案例背景 安裝 VS2012 後，原有 SQL Server

SQL Server 交易式複寫深度解析：如何跳過卡住的大型事務

在 SQL Server 交易式複寫環境中，資料同步延遲是常

MSSQL 索引重建完整指南：線上重建、MAXDOP 控制、碎片與填充因子判斷標準

何時需要重建索引 指標臨界值查詢方式 平均碎片率>