password_hash(); PHP pytanie

Question

Witam, jak wiadomo sposoby hashowania ciągle się zmieniają, stąd tez moje pytanie, czy użycie funkcji password_hash() jest bezpieczne na dłuższy czas, bo co jeśli zmieni się sposób generowania hashu i hasła zaszyfrowane starym algorytmem nie będą zgodne z tymi w bazie danych? Każdy utraci dostęp. chce hashować hasła ale mam strach przed tym.

 

Możecie napisać mi jakieś porady i mnie uspokoić? Nie znam się na tym za bardzo a wiem że jest to wymóg bezpieczeństwa, tak samo jak boje się tego "salt", jeśli jest to losowy ciąg, to czy istnieje możliwość iż hasla będą nie zgodne po mimo wpisania ich dobrze?

Answer 1

Użyj password_hash z domyślnym Bcryptem, myślę, że na tę chwilę jest to bezpieczny algorytm szyfrujący, acz jest asymetryczny. Żeby sprawdzić jego poprawność musisz użyć password_verify.

<?php

$passwordPlain = 'pass123';

$passwordHash = password_hash($passwordPlain, PASSWORD_BCRYPT);

password_verify($passwordPlain, $passwordHash); //zwraca true gdy sobie odpowiadają tak jak w tym przypadku

 

Comments

Oczywiście wygenerowany hash trzymamy w bazie danych a postaci plaintext nigdzie. Piszę, żeby nikomu nie przyszło do głowy trzymać tego w kodzie :)

---

Dziękuje bardzo, martwi mnie tylko ten hash, boje się że coś z solą się zmieni w innych wersjach php i wszyscy utracą dostęp do kąt bo np. hash z round 10 bcrypt nie pasują do tych w generatorach online <invalid salt> i to też mnie martwi

---

kont*

Nie - to tak nie działa. Hash wygenerowany z danego hasła może być za każdym razem innym, jednak funkcja verify sprawdza poprawność podanego hasła w bebechach PHP. To ma na celu zabezpieczenie przed np brute force. Poczytaj trochę o tym.

---

Czyli mam rozumieć że mogę spokojnie bcryptem zapisywać w basie hashe haseł bez obawy o późniejszą utratę?

---

Tak, śmiało z tego korzystaj, sądzę, że obecnie jest to standard i jest całkiem bezpieczny. I nie porównuj dwóch hashy z danego hasła, bo one za każdym razem będą inne. Jedyna możliwość to password_verify. Poza tym bcrypt raczej nie jest tworem php i od niego nie zależy.

Answer 2

Najczęściej sotsowanym formatem szyfrującym jest md5. Jest to 128bitow format, który jeszcze na świecie nie został złamany.

<?php
$str = "Hello";
echo md5($str);
?>

 

Comments

No chyba coś ci się pomyliło.

---

@plucins, md5 dla "hello" będzie taki sam za każdym razem. Wystarczy mieć bazę haseł md5. 

---

@plucins, Chyba nie słyszałeś o rainbow tables ani o kolizjach md5. Dziś nawet mocniejszy laptop nie ma z tym hashem większego problemu.