Лучший способ кодировать пароли в PHP

Обязательным к прочтению является статья Джеффа Вы, вероятно, храните пароли неправильно . Вот краткое содержание:

1. Не изобретайте свою собственную «умную» схему хранения паролей.
2. Никогда не храните пароли в виде открытого текста.
3. Добавьте длинную уникальную случайную соль к каждому паролю, который вы храните.
4. Используйте пароль. криптографически безопасный хэш.

Вы должны позволить пользователю СБРОСИТЬ пароль пароль, но никогда не ПОЛУЧАЙТЕ свой пароль. Вот почему вы хотели бы использовать односторонний хэш (SHA2) вместо формы шифрования, которая позволяет вам его декодировать.

Представьте, если бы вы оставили свой адрес электронной почты открытым. Я мог бы просто запросить ваш пароль для какого-то веб-сайта, удалить письмо, и вы никогда не узнаете. С другой стороны, если вы вместо этого потребуете, чтобы я сбросил пароль, пароль учетной записи изменится, и владелец, очевидно, поймет, что что-то не так. (Это глупый сценарий, но главное - это концепция)

Хэши можно «перевернуть», пробуя все возможные комбинации слов (или используя радужные таблицы), пока не будет получен соответствующий хеш. Один из способов избежать этого - добавить / добавить к указанному паролю соль, чтобы сделать его очень длинной и непредсказуемой строкой. Соль должна быть уникальной строкой данных, уникальной для индивидуальной учетной записи.

В PHP нет функции SHA2. SHA-2 - это семейство алгоритмов хеширования (SHA-256, SHA-384, SHA-512 и т. Д. )

hash('sha256', 'The quick brown fox jumped over the lazy dog.');

Как администратору, вам никогда не нужно вспоминать пароль пользователя . Вам просто нужно знать, идентична ли строка, которую они однажды отправили, другой.

Если пользователь забыл свой пароль, ему не нужно сообщать свой старый пароль, вы можете просто попросить их предоставить новый. .

Поскольку вам не нужно знать настоящие пароли, использование криптографического хеша слов может показаться безопасным способом их хранения. Однако были созданы большие таблицы предварительно вычисленных строк, чтобы легко выполнять обратный поиск хеш-функции исходной строки. Они называются радужными таблицами .

Чтобы избежать простого поиска предварительно вычисленной строки, вы должны солить свои пароли перед их хешированием. Соль может быть добавлено их имени пользователя,

Base64Encode не предлагает никакой защиты, потому что любой может легко отменить ее.

Если вам абсолютно нужно изменить пароль, хороший способ - использовать секретный вопрос и использовать ответ в качестве ключа шифрования. После того, как пароль зашифрован, вы выбрасываете ответ (вы его не сохраняете). Вы также используете стандартное шифрование sha1 на тот момент, когда вам нужно убедиться, что он ввел правильный пароль. Если пользователю нужен его пароль, он вводит ответ на свой секретный вопрос, и вы используете его, чтобы восстановить пароль и отправить его ему.

Это не так безопасно, как только шифрование на основе хэша, но если вам нужно отправить вернуть пароль, это хороший компромисс.

Вы можете посмотреть библиотеку mcrypt для php http: //ca3.php. net / mcrypt

Я всегда удаляю свою учетную запись только с любых сайтов, которые отправляют мне мой пароль по электронной почте. Я потратил слишком много усилий и времени на запоминание длинных случайных паролей, чтобы отправлять их мне в виде простого текста.

Используйте необратимый хеш sha1 () или более высокий для идентификации пароля. При аутентификации пароля пользователя получите хеш-код и сравните его с хеш-кодом пароля, предоставленного во время аутентификации. Если они совпадают, то пользователь аутентичен в разумных пределах.

$user = "joe";
$password = 'password';

$saved_hash = DB::Query("select hash from users where username = ".quote($user)." LIMIT 1");

if (sha256($password) == $saved_hash) User::authenticated();

Никогда и никогда не отправляйте пароли по электронной почте. Отправить уникальный, непредсказуемый, сгенерированный ключ, например в PHP:

$key = sha256(time().rand().$secret_seed);

Отправить этот ключ клиенту для одноразового использования, чтобы установить новый пароль.

Используйте необратимый хеш sha1 () или более высокий для идентификации пароля. При аутентификации пароля пользователя получите хеш-код и сравните его с хеш-кодом пароля, предоставленного во время аутентификации. Если они совпадают, то пользователь аутентичен в разумных пределах.

$user = "joe";
$password = 'password';

$saved_hash = DB::Query("select hash from users where username = ".quote($user)." LIMIT 1");

if (sha256($password) == $saved_hash) User::authenticated();

Никогда и никогда не отправляйте пароли по электронной почте. Отправьте уникальный, непредсказуемый, сгенерированный ключ, например, в PHP:

$key = sha256(time().rand().$secret_seed);

Отправьте этот ключ клиенту для одноразового использования, чтобы установить новый пароль.

Используйте необратимый хеш sha1 () или более высокий для идентификации пароля. При аутентификации пароля пользователя получите хеш-код и сравните его с хеш-кодом пароля, предоставленного во время аутентификации. Если они совпадают, то пользователь аутентичен в разумных пределах.

$user = "joe";
$password = 'password';

$saved_hash = DB::Query("select hash from users where username = ".quote($user)." LIMIT 1");

if (sha256($password) == $saved_hash) User::authenticated();

Никогда и никогда не отправляйте пароли по электронной почте. Отправить уникальный, непредсказуемый, сгенерированный ключ, например в PHP:

$key = sha256(time().rand().$secret_seed);

Отправить этот ключ клиенту для одноразового использования, чтобы установить новый пароль.

Вы захотите использовать хеш (предпочтительно sha1) с "солью"