Stockage de mot de passe sécurisé

Question

Je développe un service Web où les utilisateurs doivent se connecter. Je vais stocker les données utilisateur dans une base de données SQL et entrer/sortir via PHP. Mais je ne veux pas le stocker ouvertement. Comment puis-je chiffrer les mots de passe en PHP afin que seuls ceux qui connaissent le mot de passe peuvent le déverrouiller?

Je sais que des services comme phpBB utilisent une sorte de dissimulation/cryptage sur les mots de passe stockés.

Answer 1

La façon la plus simple de sécuriser votre système de stockage de mot de passe est de en utilisant un bibliothèque standard. Parce que la sécurité a tendance à être beaucoup plus compliquée et avec des possibilités d'invisibilité plus invisibles que la plupart des programmeurs ne peuvent résoudre seuls, l'utilisation d'une bibliothèque standard est presque toujours la plus facile et la plus sûre.

Voir this answer pour plus d'infos

Answer 2

Vous voulez probablement hacher le mot de passe - ne pas le chiffrer. Check out SHA-1. Le hachage signifie que vous ne pouvez pas récupérer les données d'origine comme vous le pouvez avec le cryptage. Au lieu de cela, vous devez hacher les utilisateurs et les comparer au hash de la base de données pour voir s'ils ont le bon mot de passe. Cela augmente la sécurité comme si votre base de données était compromise - un tas de hachages sont inutiles.

Answer 3

Vous devez selecter et hacher le mot de passe, en utilisant un algorithme sécurisé.

• mhash de PHP a des fonctions de hachage appropriées
• A full example ici sur le SO

Answer 4

Enregistrer un hachage MD5 et pour le rendre plus sûr, ajouter un sel.

Answer 5

Il y a la possibilité de hachage des mots de passe (de préférence avec un sel):

$salt = random_string($length = 5); 
$hash = $salt . sha1($salt . $password); 

Ou magasin crypté (uniquement si votre connexion MySQL est sécurisé SSL):

INSERT INTO `user` (`user`,`pass`) VALUES("username",ENCRYPT("password","secretkey")) 

Answer 6

Eh bien, vous shouldn Ne les cryptez pas avec MD5 (qui n'est pas vraiment sécurisé, la plupart des pirates ont des tables de conversion). Par conséquent, vous pouvez le hacher avec SHA1 (qui est généralement utilisé).

Si vous voulez plus de sécurité, vous pouvez ajouter plus salt qui est une clé vous pouvez ajouter à ceci (juste un exemple, habituellement utilisé):

salt+sha1(salt+pass) 

Cette combinaison peut être utilisée avec beaucoup de langue .

Answer 7

Hash mots de passe dans SHA-1 (fonction intégrée sha1 php) avec plusieurs récursions de salage (même code dans les réponses ci-dessus, seulement boucle à travers plusieurs fois). Cela devrait être une protection suffisante, donc même si les intrus mettent la main sur les hachages, ils ne devraient pas pouvoir les casser ...