Salare i miei hash con PHP e MySQL

Question

Come la maggior parte degli utenti, sto semplicemente cercando di trovare un modo sicuro per archiviare le password. Quello che non ho trovato qui (o forse è la mia mancanza di comprensione) è come recuperare un hash salato nel mio database e separare il sale dalla password hash, in particolare con sali unici per ogni password mantenendo la password di sale + in una singola colonna.

Sto trovando tutti questi modi interessanti per crittografare le password (SHA-256, ma MySQL supporta solo SHA/1 e MD5?) E altre cose dal manuale PHP, ma non sono sicuro di come memorizzare e recuperare le password.

Quindi, finora questo è tutto quello che comprendo:

SHA('$salt'.'$password') // My query sends the password and salt 
         // (Should the $salt be a hash itself?) 

Dopo di che mi sono perso con sali.

Recuperare la password senza sale è facile, ma il sale mi confonde. Dove posso ottenere nuovamente il valore da $ salt, specialmente se è unico e sicuro? Li nascondo in un altro database? Costante (sembra pericoloso)?

MODIFICA: La variabile chiave in HMAC dovrebbe essere salata o si tratta di qualcos'altro?

Answer 1

Prima di tutto, DBMS (MySQL) non deve avere alcun supporto per hash crittografici. Puoi fare tutto ciò dal lato PHP, ed è anche quello che dovresti fare.

Se si desidera memorizzare sale e hash nella stessa colonna, è necessario concatenarli.

// the plaintext password 
$password = (string) $_GET['password']; 

// you'll want better RNG in reality 
// make sure number is 4 chars long 
$salt = str_pad((string) rand(1, 1000), 4, '0', STR_PAD_LEFT); 

// you may want to use more measures here too 
// concatenate hash with salt 
$user_password = sha512($password . $salt) . $salt; 

Ora, se si desidera verificare una password che fate:

// the plaintext password 
$password = (string) $_GET['password']; 

// the hash from the db 
$user_password = $row['user_password']; 

// extract the salt 
// just cut off the last 4 chars 
$salt = substr($user_password, -4); 
$hash = substr($user_password, 0, -4); 

// verify 
if (sha512($password . $salt) == $hash) { 
    echo 'match'; 
} 

Si potrebbe voler dare un'occhiata a phpass, che utilizza anche questa tecnica. È una soluzione di hashing PHP che utilizza la salatura tra alcune altre cose.

Si dovrebbe assolutamente dare un'occhiata alla risposta alla domanda WolfOdrade collegata a.

Answer 2

Questo sembra coperto in modo approfondito in un precedente post: Secure hash and salt for PHP passwords

Answer 3

Personalmente raccomando di fare in modo che MySQL faccia ciò con le sue funzioni incorporate.

Il modo in cui lo faccio è creare una funzione nel mio file di configurazione del database che restituisce una stringa di chiavi. Il file di configurazione deve trovarsi al di fuori della root del sito in modo che il server Web possa accedere al file ma non ad altri. così per esempio:

function enc_key(){ 
    return "aXfDs0DgssATa023GSEpxV"; 
} 

Poi nello script utilizzarlo con la query SQL e funzioni AES_ENCRYPT e AES_DECRYPT in MySQL come questo:

require_once('dbconf.inc.php'); 

$key = enc_key(); 

//When creating a new user 
$sql = "INSERT INTO users (username, password) VALUES ('bob', AES_ENCRYPT('{$key}', {$password}))"; 

//When retrieving users password 
$sql = "SELECT AES_DECRYPT('{$key}', password) AS password FROM users WHERE username like 'bob'";