Verschlüsseln Passwort vor der Speicherung in der Datenbank?

Während die Antwort unten ist technisch korrekt, php hat neue Empfehlungen in Bezug auf die Hash-algorithmen zu verwenden. Ihre Empfehlung, php >= 5.5.0, ist die Verwendung der password_hash und password_verify Funktionen hash und überprüfen Sie, Hash-Passwörter . Als zusätzlichen Vorteil, diese Funktionen automatisch eine individualisierte Salz als Teil der zurückgegebenen hash, so brauchen Sie nicht zu befürchten, dass explizit.

Wenn Sie kümmern sich nicht um das abrufen der Passwort - Wert (aus der Datenbank verschlüsselten Wert), können Sie ein one-way-hash-Algorithmus (z.B. sha1). Diese Funktion gibt eine bestimmte Zeichenfolge (hash), die nicht verwendet werden, um die ursprüngliche finden string (theoretisch). Es ist möglich, dass zwei unterschiedliche strings erstellen könnten den gleichen hash (eine so genannte Kollision), aber dies sollte nicht sein ein problem mit Passwörtern.

Beispiel:

$pass = sha1($_REQUEST['pass']);


Eins, um es ein wenig sicherer ist das hinzufügen von Salz, um den hash und führen Sie die hash-Funktion erneut. Dies macht es schwieriger, um ein Passwort zu generieren hash in böser Absicht, da der salt-Wert ist, verarbeitet der server-Seite.

Beispiel:

$pass = sha1(sha1($_REQUEST['pass']).sha1("mySalt@$#(%"));


InformationsquelleAutor Richard Marskell - Drackir

Ersten, erstellen Sie eine zufällige Benutzer-Salz. Dann sollten Sie speichern, und den Passwort-hash in der Datenbank.

$salt = md5(unique_id().mt_rand().microtime());
$pass = sha1($salt.$_REQUEST['pass']);

und speichern Sie die $salt und $pass in die Datenbank. Dann, wenn Sie melden Sie sich Sie sich Ihre Zeile und überprüfen Sie die hash:

$user = query('SELECT * FROM `user` WHERE username = ?', array($_REQUEST['username']));

if($user)
{
    //If the password they give maches
    if($user->pass === sha1($user->salt. $_REQUEST['pass']))
    {
        //login
    }
    else
    {
        //bad password
    }
}
else
{
    //user not found
}

Einen Benutzer anlegen Salz für jedes Konto versichert rainbow-tables nutzlos sind, und jeder, der gebrochen in deinen server hätte, um brute-force jedes Passwort.

InformationsquelleAutor Xeoncross

Meisten basic: Hash mit MD5-oder SHA1 -

$newpass = md5($_REQUEST['pass']);

oder

$newpass = sha1($_REQUEST['pass']);

Neulich habe ich angefangen das speichern der Benutzernamen-Hash, also login-versuche sind sicher mit nur gehashte Daten für Vergleiche.

Können Sie das "Salz" der hashes mit extra-Daten, so dass, wenn Sie kompromittiert werden, ist es Wert nicht gefunden werden kann (versuchen Sie googeln einige einfache Hash-Worte).. d.h. verwenden Sie eine Website-weite saite zu verändern, die standard-hash wie md5("mySiteSalt!!" . $_REQUEST['pass']); oder etwas mehr erweitert.

InformationsquelleAutor Fosco

Finden Sie heraus, warum die md5 -, sha1-und Sie schnell Freunde vielleicht nicht eine gute Idee, Sie sollten Lesen Sie den Beitrag Genug Mit Den Rainbow-Tabellen: Was Sie Wissen Müssen Über Sichere Passwort-Systeme von Thomas Ptacek. Der Kern:

Schließlich erfuhren wir, dass, wenn wir wollen
speichern Sie Passwörter sicher haben wir drei
vernünftige Optionen: PHK - MD5-Schema,
Provos-Maziere - Bcrypt-Schema und
SRP. Wir haben gelernt, dass der richtige
Wahl ist Bcrypt.

Hinweis: es ist PHK, nicht php.

InformationsquelleAutor middus