散列密码注册/登录

Question

我在谷歌上搜索过正确的方法，但是有很多不同的方法。所以我想出了这个，不介意一些批评和更好实践的链接。

//注册表格-用户提供用户名（电子邮件）密码（文本）//

所以我抓取数据：

$user = mysql_real_escape_string($_POST['user']);
$pswd = mysql_real_escape_string($_POST['pass']);
$salt = hash( 'sha256', microtime() . rand() );
$encrypt = hash( 'sha256', $pswd . $salt );

然后将user_email| encrypted_pass|salt插入数据库

//登录表单-用户提供用户名(电子邮件)密码(文本)//

所以首先根据用户（电子邮件）我抓取encrypted_pass和盐信息。然后

$user = mysql_real_escape_string($_POST['user']);
$pswd = mysql_real_escape_string($_POST['pass']);

$encrypted_pass_fromDB = $var['encrypted_pass'];
$salt_fromDB = $var['salt'];

if (hash( 'sha256', $passwrd . $salt_fromDB) === $encrypted_pass_fromDB)
     {
      echo "GOT IT!";
     }

我读过bcrypt是一个更好的选择，但是现在我想更好地理解SALT方法。同样，当我使用$options = ['cost' =

任何意见都值得赞赏！谢谢！

Answer 1

PHP现在提供了一种生成安全密码哈希的简单方法，我们应该使用它，看看函数password_hash（）。

// Hash a new password for storing in the database.
// The function automatically generates a cryptographically safe salt.
$hashToStoreInDb = password_hash($password, PASSWORD_BCRYPT);

// Check if the hash of the entered login password, matches the stored hash.
// The salt and the cost factor will be extracted from $existingHashFromDb.
$isPasswordCorrect = password_verify($password, $existingHashFromDb);

当然，了解盐是如何工作的（以及正确处理它有多难）是很好的，所以尝试一下，但要为你的生命系统使用上面的功能。

Answer 2

您应该使用内置的crypt功能：

http://php.net/crypt

你有两个选择:

让PHP Crypt生成salt

$user = mysql_real_escape_string($_POST['user']);
$pswd = mysql_real_escape_string($_POST['pass']);

//Salt is generated automatically
$encrypt = crypt( $pswd );

自己生成盐

$user = mysql_real_escape_string($_POST['user']);
$pswd = mysql_real_escape_string($_POST['pass']);

//These are the settings for the salt (Separated so you can understand it)
$algorithm = "2a";
$length = "12";

//Start the salt by specifying the algorithm and length
$salt = "$" . $algorithm . "$" . $length . "$";

//Add on random salt and make base64 adjusted for bcrypt's version
$salt .= substr( str_replace( "+", ".", base64_encode( mcrypt_create_iv( 128, MCRYPT_DEV_URANDOM ) ) ), 0, 22 );

//Encrypt with your generated salt
$encrypt = crypt( $pswd, $salt );

验证它很容易:

if ( $encrypted_pass_fromDB_with_salt === crypt( $passwrd, $encrypted_pass_fromDB_with_salt ) ) echo "ok";

Answer 3

在向哈希值中添加盐时，唯一可以防止的就是使用称为“彩虹表”的大型预先计算哈希表。这些在很长一段时间内都不是一个主要问题，但因为：

< li >包含扩展字符集的Rainbow表非常庞大，有些需要16GB以上的RAM来搜索。 < li >跨多台计算机进行并行化的强制破解，或者卸载到AWS等云服务，速度更快、成本更低，并且简单盐的添加几乎无关紧要。

更好的算法将密码散列数千次，并以加密的“适当”方式应用给定的salt，使其更难破解。然而，它们所基于的哈希算法(如SHA和MD5)被设计为小而快，并且对它们进行暴力破解需要大量的CPU时间，这是廉价且易于并行化的。

Bcrypt不同。它使用Blowfish算法，需要相对大量的RAM，这很昂贵，因此难以并行化。这就是为什么每个人都如此强烈地推荐它。

TL;DR Hashing比明文更好，salted比unsalted更好，bcrypt比几乎所有其他东西都好，所以frickin使用它。