Authentifier une connexion utilisateur avec du sel

Question

J'utilise salt pour crypter les mots de passe de mes utilisateurs. J'utilise PHP, et voici un exemple rapide de ce qui se passe pendant les registres d'utilisateurs.

Ici, il est:

Code PHP:

// Gives me my random key. My salt generator. 
    $salt = uniqid(mt_rand()); 

    // My password via what users inputs. 
    $userpwd; 

    // Then the encryption. I use a HMAC hash. 
    $encrypted = hmac_hash("sha256", $userpwd, $salt); 
?> 

Maintenant que tous les travaux pour moi dans mon script. Mais ma question est, comment puis-je authentifier un utilisateur se connectant? Le nouveau mot de passe crypté est aléatoire, donc je ne peux pas comparer le mot de passe du formulaire de connexion au mot de passe crypté enregistré dans la base de données.

J'ai cherché et je ne trouve pas de solution. Peut-être que je n'ai pas cherché assez dur, mais est-il un moyen de déchiffrer le mot de passe? Que puis-je faire pour authentifier l'utilisateur avec mon script?

Answer 1

Vous hachez le mot de passe saisi par l'utilisateur de la même manière, puis comparez le hachage à celui que vous avez enregistré.

if (hmac_hash("sha256", $_POST['password'], $saltFromDatabase) === $hashFromDatabase) 
    $login = true; 

Vous devez également stocker le sel car il est différent pour chaque utilisateur. Je recommande également d'utiliser un second salt constant dans l'application (stocké dans un fichier de configuration dur, de sorte que même si la base de données est compromise, les mots de passe sont toujours sécurisés).

Remarque: Le hachage est et non identique au chiffrement; C'est un processus irréversible.

Answer 2

Vous ne décryptez pas ce que vous avez stocké. Vous hachez le mot de passe entré et comparez-le avec ce qui a été stocké lors de l'inscription. En effet, si deux hachages correspondent (à toutes fins utiles), vous pouvez être sûr que les données source correspondent.

Answer 3

Votre sel doit être constant et non aléatoire. De cette façon, lorsque vous vérifiez le mot de passe par rapport au hachage, tout ce que vous avez à faire est de hacher l'entrée avec le sel à nouveau, et le hachage qui en résulte doit être le même que ce qui est sorti auparavant.

Answer 4

Vous devez générer un sel unique pour le mot de passe de chaque utilisateur, puis stocker la valeur du sel quelque part, vous pouvez le récupérer. Par exemple, en enregistrant le sel dans une table user avec le nom d'utilisateur et le mot de passe haché. De cette façon, vous pouvez extraire le sel connu et l'exécuter via votre fonction lorsque vous allez authentifier un utilisateur.

Voici un article qui contient plus d'informations: Storing Passwords - done right!

Et pour plus d'informations sur les sels: salt-generation-and-open-source-software

Answer 5

Vous chiffrez le mot de passe utilisé pour se connecter et de le comparer avec le mot de passe crypté dans votre base de données. :)

Answer 6

Vous calculez le hash du mot de passe que l'utilisateur a saisi, comme vous le faites lors de son enregistrement. Notez que le code est semi-pseudo, vous devez l'adapter à vos bibliothèques ou fonctions.

$res = db('SELECT etc FROM users WHERE user=? AND pass=?', 
    $_POST['user'], hmac_hash("sha256", $_POST['pass'], $salt)); 
if(numRows($res) > 0) { 
    // continue with authentication 
} 

Si le sel est stocké dans la db, alors vous devez soit le chercher d'abord, ou faire la comparaison dans la db.