密码哈希算法

Question

我对哈希密码不太了解，但我想知道。我想知道以下算法对于没有信用卡信息或类似信息的普通网站有多好，我也想知道如何改进它。 算法是：

hash('sha512', crypt(hash('whirlpool', $password.$username), base64_encode(md5(strlen($password)))))

Answer 1

不要混合超过一种哈希值，每种哈希值都经过优化，可以单独发挥最佳作用。

根据您使用该哈希的内容，将 $password 放入其中也是一个非常糟糕的主意。如果它存储在用户的计算机上，即存储在 cookie 中。你不希望它在那里。

如果将哈希存储在数据库中，您还可以通过在使用哈希算法之前添加动态随机字符串来使其更好。然后将为用户每次访问生成一个新的哈希值。

Answer 2

我强烈建议使用众所周知的、经过测试的、经过审查的哈希/加密函数，而不是任何本土的算法。

Answer 3

这是我创建的一个类，用于存储我集成的 api 的 ID/密码组合。每个用户都可以拥有自己独特的凭据。我不建议在不兼容 PCI 的计算机上存储任何信用卡数据。

这正是我的课程，但你们有一些缺失的部分，所以我已经对它们进行了评论。请注意，该向量是唯一的（将其视为哈希），我将其与加密数据一起存储在数据库中。

密钥位于公共目录之外，这涉及到保护您的盒子的另一个主题。

<?php
// This is on my index page but added here so you see all constants.
define('DIR', dirname(__FILE__) . '/');


class locker {
  private $algorithm = MCRYPT_RIJNDAEL_256;
  private $key;
  private $mode = MCRYPT_MODE_CBC;
  public $iv;  // Public so we can change to the one used to encrypt it.

  public function __construct()
  {
    // Lets include our key
    // The key is located Outside of the public directory.
    $this->key = file_get_contents(DIR .'../keys/passphrase.key');
    // Create the initialization vector for added security.
    $this->iv = mcrypt_create_iv(mcrypt_get_iv_size($this->algorithm, MCRYPT_MODE_ECB), MCRYPT_RAND);
  }

  public function encrypt($string)
  {
    return base64_encode(mcrypt_encrypt($this->algorithm, $this->key, base64_encode($string), $this->mode, $this->iv));
  }

  public function decrypt($string)
  {
    return base64_decode(mcrypt_decrypt($this->algorithm, $this->key, base64_decode($string), $this->mode, $this->iv));
  }

  // Helper functions so you can see what you can do on your own box.
  public function list_modes()
  {
    print_r(mcrypt_list_modes());
  }

  public function list_algorithms()
  {
    print_r(mcrpt_list_algorithms());
  }
}
?>

<?php
//Example usage
$locker = new locker;
$pass = $locker->encrypt('passwordvalue');
$iv = $locker->iv;

// Decrypt it
$locker = new locker;
$locker->iv = $iv;
$pass = $locker->decrypt($pass);
?>

Answer 4

如果你想要强大的东西。你必须
- 永远不要保存密码，而是保存哈希值（不需要太多）以避免数据库黑客使用密码。

• 并且从不询问密码，而是询问密码散列+盐的散列（例如日期）以避免播放攻击

Answer 5

尝试我编写的这个（非常易于使用）类，其中包括自动算法检测，以获得您的服务器支持的最安全的算法：