algoritmo migliore hash da utilizzare in PHP/MYSQL

Question

Qual è il miglior algoritmo consiglia di utilizzare per cifrare le password in php/mysql

Answer 1

Vorrei usare la funzione del php crypt() perché non ci sarà comunque la password per essere decifrati . Quando ho bisogno di controllare la password neo entrato devo solo per cifrare che uno e confrontare i due risultati

Answer 2

C'è un articolo here decente - breve risposta, utilizzare crypt(), e assicurarsi di utilizzare un salt.

Answer 3

SHA-512 con un sale è un buon modo & per hash una password. Se questo non è disponibile hai SHA-1 ma la sicurezza è considerata un po 'debole in questi giorni, specialmente se non usi un sale.

Answer 4

Ci sono molte opzioni - vedere the php hash docs per l'elenco completo.

La velocità non è un vantaggio, quindi usare sha-512 o idromassaggio è una buona idea. Non è necessario memorizzare l'intera lunghezza dell'hash in mysql, ad esempio è possibile eseguire l'hash di qualcosa come whirlpool, che è lungo 128 caratteri e memorizzare solo i primi 64 caratteri per l'efficienza.

Answer 5

1. Il pensiero corrente è quello di utilizzare un algo hash SLOW. Questo fa sì che i "forzuti brutali" impieghino molto tempo a generare tutti questi tentativi.

2. Molto ancora più intelligente è tenere traccia delle richieste URI tramite IP e bloccare con spiegazione quando 5 tentativi di accesso falliscono dallo stesso IP in un dato periodo di 5 minuti.

3. La banca più intelligente ha ancora da fare # 1, # 2 e richiede anche un passaggio secondario una volta che il primo ha superato il test. Il triplo fallimento alla seconda sfida determina il blocco.

Il livello 3 di sicurezza è molto, molto forte. Probabilmente troppo forte.

Answer 6

maggior parte delle persone sono ormai d'accordo SHA non è il modo migliore per andare, dal momento che questi algoritmi sono affatto male resistere agli attacchi di forza bruta. È meglio usare bcrypt, scrypt o PBKDF2 see this Q&A.

Here is a guide on how to implement bcrypt in php.

Answer 7

Miki725 solleva punti interessanti con the Matasano article Mentre sha512 è meglio di md5 crittografia, bcrypt li batte tutti, perché è più lento e quindi costa di più per attaccare. Più lento non è male internet è lenta già, è milioni di volte più lento di cache della CPU, e migliaia di volte più lento di disco. Effettuare i controlli della password richiede 200 ms anziché 1 ms per il calcolo non ha intenzione di infastidire alcun utente.

più importante non dimenticare di usare un nonce che è casualmente generato e diverso per ogni utente.

bcrypt sta per essere sub-ottimale in PHP perché PHP è interpretato e questo dà l'attaccante qualche vantaggio, ma c'è un modo per in this stackoverflow article