php哈希密码创建答案

【问题标题】：php hashed password creationphp哈希密码创建
【发布时间】：2011-09-11 02:30:10
【问题描述】：

我希望使用 php 创建一个商业网站，并且我想确保我拥有的用户哈希密码代码足够强大，可以避免暴力攻击。

请注意，我的服务器及其 php 版本不支持河豚，因此我正在尝试找出一种体面的密码散列方法。

$pw = "12341234";
$salt = 'randomchars';
$initial = sha1($pw);
$hashed = md5($salt . $initial);

还有什么我应该考虑的吗？任何想法将不胜感激！

【问题讨论】：

您正在组合两个哈希值（sha1 和 md5）。这绝不是一个好主意。

标签： php passwords

【解决方案1】：

你想要http://www.openwall.com/phpass/

【讨论】：

我会说如果它足以“集成到 WordPress 2.5+”中，它可能是一个稳定、安全的库。
没什么，它已经集成到 Drupal 7 中了。

【解决方案2】：

我认为您不知道这样一个事实，即您散列密码的方式不会影响通过暴力攻击破解密码的可能性（例如，当攻击者试图提供数千个可能的密码）。只有在有人看到数据库中用于表示此密码的值时，它才会使密码安全。

【讨论】：

该算法会影响蛮力攻击的执行速度。
如果某人拥有数据库的副本，并且他或她正试图暴力破解一个或多个密码，哈希算法运行时间越长，暴力破解一个或多个密码所需的时间就越长。更多密码。是的，如果有人试图通过 Web 表单进行暴力破解，那么该算法在所需时间方面不会有太大影响（无论如何都是百分比）；但是，几乎所有对“可能性”的解释都是错误的，“你散列密码的方式不会影响通过暴力破解破解密码的可能性”。
我相信我们在用不同的术语争论同一件事。实际上，您在此之前的评论直接反对您在答案中的开场白的有效性。（从技术上讲，此评论的真实性取决于“可能性”的定义。）您首先断言所使用的算法不会影响暴力攻击的可行性。然后，在你之前的帖子中，你说如果你选择一个弱算法，蛮力攻击可以非常迅速地完成。是哪条路？
如果某个算法需要多花 10 毫秒才能运行（这将是一个巨大的时间来散列 1 个密码），那么每个 Web 请求将多花 10 毫秒。把它加起来，是的，算法的时间也会在网络上影响它。无意冒犯，但这个评论线程正在演变成关于术语差异和误解的喋喋不休。我最初争论的一点是，所选择的算法会影响蛮力攻击所需的时间。我仍然对此提出异议。
而且，“我不会说算法用于生成哈希的时间与破坏哈希所需的时间之间存在相关性”是明显错误的。请从数学上考虑这个问题。如果算法 1 的每次运行需要 10 秒，算法 2 的每次运行需要 1 毫秒，那么算法 1 的 10 次尝试可能需要更少的尝试，但仍然需要比算法 2 更长的时间来发现冲突。

【解决方案3】：

对于蛮力攻击，您可以使用谷歌的captcha..

对于代码密码，您可以使用第一个 md5 和第二个 sha1，因为 md5 生成 32 个字符的数据 sha1 64.. :)

【讨论】：

【解决方案4】：

您的 sn-p 似乎是安全的。你想防止彩虹表攻击，所以双重加密是个好主意。甚至生成一个 SHA1 明文的 MD5 哈希列表的计算能力是巨大的，但在那里有盐来防止这种攻击仍然没有害处。

【讨论】：

【解决方案5】：

没有必要重新发明轮子，因为有 crypt 函数。

// generate MD5-hashed password with salt
$password = crypt('mypassword');
// password contains string(34) "$1$bkZO1nIl$y5bzPPwByq.9tYEb64k4e0"

请参阅手册中不同类型的哈希示例，包括 MD5 和 SHA256：http://php.net/manual/en/function.crypt.php

我这还不够，还有其他选择：

How do you use bcrypt for hashing passwords in PHP?

请记住，如果有人能够对您的数据库下手，那么他破解用户密码的能力将不会是您的问题。

【讨论】：