Come posso aggiornare la mia sicurezza nel mio script di accesso da MD5 a qualcosa di più sicuro?

Question

Ho uno script PHP login con sale sul database, ma nel mio script registro vedo:

$qry = "INSERT INTO accounts(username, firstname, lastname, password) " . 
VALUES('$username','$fname','$lname','" . md5($_POST['password']) . "')"; 

e per il login:

$qry="SELECT * FROM accounts WHERE username='$username' AND password='" . 
md5($_POST['password']) . "'"; 

c'è qualche codice che può sostituire il MD5 ? Qualcosa di più sicuro?

Ho sentito parlare di SHA1 o qualcosa del genere.

Answer 1

Risposta breve

Usa bcrypt non md5 o sha1

Più rispondere

utilizzando il crypt() è difficile. C'è una nuova API di PHP password di hashing venire in PHP versione 5.5, è possibile leggere su di esso qui:

https://gist.github.com/nikic/3707231

utilizza bcrypt e rende l'intero processo molto semplice. Naturalmente php 5.5 non è ancora pronto, così nel frattempo v'è una biblioteca per fornire questa nuova API in questo momento:

https://github.com/ircmaxell/password_compat

Edit: Vedere questo thread per una risposta molto più approfondita sulla argomento:

How do you use bcrypt for hashing passwords in PHP?

Answer 2

In considerazione della posta @jszbody, si dovrebbe aggiornare anche il campo della password per dire che si desidera schema che si sta utilizzando.

Dove si dispone di un hash MD5 ora, si potrebbe avere solo "BAC232BC1334DE" o qualcosa del genere.

Quando si passa a SHA o qualsiasi altra cosa, è necessario cambiarlo in: "SHA: YOURSHAHASHHERE".

Perché non è possibile modificare nessuna delle password esistenti in questo momento. Ciò renderà più compatibile con le versioni precedenti, dal momento che ora è possibile supportare entrambi i regimi.

Poiché si ottiene la password originale durante l'accesso, è possibile aggiornare dinamicamente le password in posizione mentre le persone accedono.

Ottieni il record utente, controlla la password. Se non esiste uno schema, utilizzare MD5 e confrontare le password. Se sono corretti (cioè possono accedere), è possibile aggiornare la loro vecchia password MD5 alla nuova password SHA.

Inoltre, sembra che tu non stia salando le tue password. Devi salare le tue password in modo che quando Mary Sue utilizza "ilovekittens" per la sua password e Big Jake Mahoney utilizzi "ilovekittens" come sua password, non si ottiene lo stesso comportamento con password identiche.

È possibile memorizzare il sale anche nella password: "SHA: RANDOMSALTCHARACTERS: YOURSALTEDHASHHERE".

La salatura è altamente raccomandata. Senza regole, praticamente non importa molto quale schema usi.

Answer 3

Provare a usare la seguente classe:

<?php 
    class PassHash { 

     // blowfish 
     private static $algo = '$2a'; 

     // cost parameter 
     private static $cost = '$31'; 

     // mainly for internal use 
     public static function unique_salt() { 
      return substr(sha1(mt_rand()),0,22); 
     } 

     // this will be used to generate a hash 
     public static function hash($password) { 

      return crypt($password, 
         self::$algo . 
         self::$cost . 
         '$' . self::unique_salt()); 

     } 
     // this will be used to compare a password against a hash 
     public static function check_password($hash, $password) { 

      $full_salt = substr($hash, 0, 29); 

      $new_hash = crypt($password, $full_salt); 

      return ($hash == $new_hash); 

     } 

    } 

?> 

includere nella tua pagina con il seguente:

include_once('passhash.class.php'); 

hash della password da:

PassHash::hash("test"); 

e controllarlo con:

if (PassHash::check_password($databasepassword, $formpassword)){ 
    // do stuff 
} 

Questa funzione utilizza la crittografia Blowfish. Per ulteriori informazioni su Blowfish goto PHP.net/crypt

Blowfish è considerato il modo più efficace e più potente di crittografare le password. Non usare MD5 o SHA1 senza usare sale!