Alternatywa dla krypty()

Question

Pracuję nad skryptem i muszę zapisać hasła. Dla celów programistycznych korzystam z funkcji crypt(), ponieważ jest ona łatwa i dostępna. Teraz, kiedy w zasadzie już jestem gotowy, chcę go zastąpić czymś lepszym i bardziej spójnym.

Niektóre obawy mam to:

• nie wszystkie algorytmy są obsługiwane w każdym systemie
• czasami sól jest wstępnie zawieszone do wyniku (wydaje się, że problem bezpieczeństwa)

Chcę czegoś, co działa z PHP 4.3+.

Czy jest coś dostępnego, czy powinienem trzymać się z crypt()? Myślałem o użyciu md5(md5($password).$salt). Dzięki za wgląd.

Answer 1

Nie ma nic złego w crypt

Jeśli serwer nie obsługuje go użyć innego serwera.

Należy NIGDY użycie MD5 do mieszania hasła (lub nawet SHA1 dla tej sprawy)

użyć jednej bcrypt (The Blowfish metoda crypt) lub PBKDF2

Jest to implementacja PBKDF2 tutaj: Encrypting Passwords with PHP for Storage Using the RSA PBKDF2 Standard

Więcej informacji o tym, dlaczego i jak tutaj:

• Which password hashing method should I use?
• Do any security experts recommend bcrypt for password storage?

Answer 2

Przede wszystkim: Poprzedzenie sól nie jest to problem bezpieczeństwa. Posiadanie soli za hasło jest wielkim dobrodziejstwem i całkiem dobrze jest przechowywać ją razem z pw.

Teraz: dopóki nie przenosisz haseł haseł z jednego systemu do drugiego, a drugi nie obsługuje domyślnego algorytmu pierwszego, nic złego nie stanie się z definicji. Od PHP 5.3 są wbudowane algorytmy w PHP, takie jak Blowfish, które są gwarantowane.