Что хороший путь состоит в том, чтобы произвести случайную “соль сайта”, чтобы использоваться в создании маркеров извлечения пароля?

Question

Что хороший путь состоит в том, чтобы произвести случайную “соль сайта”, чтобы использоваться в создании маркеров извлечения пароля?

Я хотел бы создать по всему сайту хеш, который будет использоваться в качестве соли в создании маркеров извлечения пароля. Я возвращался вокруг stackoverflow, пытающегося получить смысл лучшего способа сделать это.

Вот процесс сброса:

То, когда пользователь запрашивает, чтобы сброс пароля послал код по электронной почте, генерирует маркер извлечения:

$token = hash_hmac('sha256', $reset_hash* , $site_hash)

* $reset_hash является хешем, созданным с помощью phpass HashPassword () функция, сохраненная в пользовательской таблице.

Я затем отправляю маркер в URL на пользовательский адрес электронной почты. Они нажимают, прежде чем маркер испытывает таймаут за час. Я соответствую их представлению, маркер проблемы генерировал серверную сторону. Если это соответствует, то они вынуждены выбрать новый пароль и затем войти в систему.

Я хотел бы знать лучший способ генерировать $site_key. Я думаю об использовании другого хеша HMAC, который отобран случайными числами:

$site_key = hash_hmac('sha256', MCRYPT_DEV_RANDOM, MCRYPT_DEV_RANDOM);

Это производит что-то вроде этого:

98bb403abbe62f5552f03494126a732c3be69b41401673b08cbfefa46d9e8999

Это будет соответственно случайно, чтобы использоваться с этой целью? Я сверхусложняю это или приближаюсь к нему неправильный путь?

Я был вдохновлен использовать HMAC этим ответом

Править: Я стараюсь избегать 'секретного вопроса' шаг, который убеждают некоторые мои коллеги, таким образом, я хотел бы, чтобы ссылка сброса предоставила одноэтапное изменению пароля. Поэтому мое беспокойство - то, что этот процесс достаточно безопасен для охраны системы, содержащей уязвимую информацию.

РАЗРЕШЕННЫЙ, на данный момент: Я собираюсь пойти с данным случаем, как описано Грачом как маркер сброса. Спасибо все для комментариев и обратной связи.

14

php security passwords hash password-protection

задан Community 23 May 2017 в 10:31

1 ответ

Другие вопросы по тегам:

php security passwords hash password-protection

Похожие вопросы:

score 23 · Accepted Answer

Начнем с того, что вы не говорите о соли. Вы говорите о Cryptographic Nonce , и когда вы добавляете пароль, вы должны использовать Cryptographic Nonce. В случае сброса паролей это должно быть случайное число, которое хранится в базе данных. Иметь "местную соль" невыгодно.

В первую очередь мне не нравится uniqid () , потому что это тяжелые по времени вычисления, а время - очень слабое начальное число . rand () vs mt_rand () , спойлер: rand () - полная чушь.

В веб-приложении хорошим источником секретов безопасности является неблокирующий доступ к пулу энтропии, например / dev / urandom . Начиная с PHP 5.3, приложения PHP могут использовать openssl_random_pseudo_bytes () , а библиотека Openssl выберет лучший источник энтропии на основе вашей операционной системы, в Linux это означает, что приложение будет использовать / dev / urandom . Этот фрагмент кода от Скотта довольно хорош :

function crypto_rand_secure($min, $max) {
        $range = $max - $min;
        if ($range < 0) return $min; // not so random...
        $log = log($range, 2);
        $bytes = (int) ($log / 8) + 1; // length in bytes
        $bits = (int) $log + 1; // length in bits
        $filter = (int) (1 << $bits) - 1; // set all lower bits to 1
        do {
            $rnd = hexdec(bin2hex(openssl_random_pseudo_bytes($bytes)));
            $rnd = $rnd & $filter; // discard irrelevant bits
        } while ($rnd >= $range);
        return $min + $rnd;
}

function getToken($length=32){
    $token = "";
    $codeAlphabet = "ABCDEFGHIJKLMNOPQRSTUVWXYZ";
    $codeAlphabet.= "abcdefghijklmnopqrstuvwxyz";
    $codeAlphabet.= "0123456789";
    for($i=0;$i<$length;$i++){
        $token .= $codeAlphabet[crypto_rand_secure(0,strlen($codeAlphabet))];
    }
    return $token;
}