Connexion sécurisée PHP CodeIgniter

Question

Je construis la partie connexion d'une application CodeIgniter en utilisant le simple login class comme point de départ. Tout fonctionne bien, mais je ne suis pas sûr des différences entre les types de cryptage et de ceux à utiliser.

Je suis allé à l'aide de la crypte() avec le mot de passe de l'utilisateur sous forme de sel (via md5), comme ceci:

$pass == crypt($_POST['login_password'], md5($_POST['login_password']))

Cette méthode est ok, ou est-il une erreur flagrante dans cette approche? Cela semble sûr car ni le mot de passe ni le sel ne sont stockés dans la base de données. Ou est-ce un peu évident?

Merci d'avance.

Answer 1

http://php.net/manual/en/faq.passwords.php

Ceci est la bonne façon de mettre en œuvre les mots de passe.

Tout ce qui est ci-dessous n'est pas pertinent.

---

Avec ce que vous avez là, un simple

$pass = md5($_POST['login_password'] . "somerandomchars"); 

suffisent dans la plupart des cas, à moins qu'un degré élevé de sécurité est nécessaire.

Si vous utilisez CodeIgniter, je vous suggère fortement de regarder dans le plugin d'authentification TankAuth.

Answer 2

Dans les applications modernes, le mot de passe du site Web n'est pas stocké à l'aide de crypt. Utiliser la valeur de hachage avec un sel est beaucoup plus sûr (si quelqu'un entre dans votre db, aucun mot de passe n'est là, seul le hash du mot de passe est utilisé pour se connecter) et crypt n'est vraiment pas très sécurisé. Malheureusement MD5 a aussi des problèmes, donc je suggère d'utiliser SHA512 comme un hachage.

Answer 3

Il y a aussi la bibliothèque de cryptage intégrée fournie par codeigniter. Vous fournissez le "sel" dans votre config (application/config/config.php) $ config [ 'de encryption_key']

Même si elle peut être "déchiffré", il est tout à fait sûr:

$this->load->library('encrypt'); 
//encryption 
$pass = $this->encrypt->encode($this->input->post('login_password')); 

Answer 4

utilisez $pass = do_hash($this->input->post('password')); et incluez security_helper dans votre autoload.php