Dlaczego nie powinienem używać 23. znaku w soli funkcji krypta()?

Question

Uczę się o funkcji crypt() PHP i przeprowadziłem z nią kilka testów. Według this post, powinienem użyć soli o długości 22 znaków. Mogę jednak użyć ciągu znaków o długości 23 znaków z pewnymi ograniczeniami. Kiedy używam 22-znakowego łańcucha, zawsze otrzymuję wynik "$ 2y $ xxStringStringStringStri.HashHashHashHashHashHashHashHas". Wiem, że okres jest po prostu częścią soli.

Wygląda na to, że jeśli użyję 23 znaków zamiast tylko 22, uda mi się wygenerować różne skróty, ale tylko 4 różne wyniki dla wszystkich 64 znaków. 23. Znak „zaokrągla w dół” z dokładnością do 1/4 z alfabetu 64 znaków (na przykład 23. postać jest „W” i zaokrągla w dół „O” lub dowolną liczbę rund do litery „U”)

v---------------v---------------v---------------v--------------- 
./ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz1234567890 

Wszystkie cztery z tych funkcji krypt wytworzenia tej samej soli:

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAq'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAr'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAs'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAt'); 

Ale to jest inna:

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAu'); 

Więc dlaczego nie powinno się używać 23 charakter, kiedy z powodzeniem może wygenerować różne wyniki? Czy jest jakiś rodzaj niestabilnego zachowania w PHP, którego należy unikać, nie używając go?

Dla wyjaśnienia, w jaki sposób liczę 23 znaków w soli:

crypt('Test123','$2y$08$ABCDEFGHIJKLMNOPQRSTUV'); 
//  The salt is '$ABCDEFGHIJKLMNOPQRSTUV' 
//  Which will be treated as '$ABCDEFGHIJKLMNOPQRSTUO' 

Answer 1

Ma do czynienia z kolizjami hash. Po przekroczeniu 22 znaków wygenerowane hasze nie są już unikalne w zależności od algorytmu NAMESPACE. Mówiąc inaczej, ponad 22 znaki nie powodują zwiększenia bezpieczeństwa i mogą obniżyć poziom bezpieczeństwa.

Answer 2

$ nie jest częścią rzeczywistej soli. To jest separator.

Dla krypty Blowfish format to 2 $ [axy] $ log2Rounds $ [salt] [hash]. Opisujesz to dodając. - to dlatego, że brakuje ci ostatniej postaci. Sól Blowfish jest 128 bitów. Możesz użyć tylko 126, tak, ale po prostu niepotrzebnie osłabiasz sól.