Mot de passe hachage et sels en PHP

Question

Je travaille sur un site qui est (essaie d'être) super sécurisé. Je lis beaucoup sur le hachage des mots de passe et l'utilisation de sels, mais tout n'est pas clair pour moi. Je voudrais utiliser l'algorithme de hachage sha-256 avec du sel. Je sais à propos des sels que tous devraient être unique par mot de passe par utilisateur.

Je me demande si j'utilise le mot de passe comme sel aussi? Hash le mot de passe avec sha256, puis hachez-le avec un autre algorithme et l'utiliser comme sel. De cette façon, je ne dois pas stocker le sel dans la base de données. Est-ce possible? ou devrais-je générer une chaîne aléatoire?

Answer 1

Non, c'est toujours un algorithme unidirectionnel.

Si un autre utilisateur utilise le même mot de passe, la valeur de hachage sera la même que celle du hachage du premier utilisateur. Cela manque le point que les valeurs de hachage doivent être différentes pour chaque utilisateur et chaque entrée de passe.

Je suggère d'utiliser la date d'enregistrement d'un utilisateur (par exemple) comme sel. De cette façon, pour chaque utilisateur et chaque passage, l'algorithme de hachage sera différent (d'accord, si deux utilisateurs ont la même passe ET la même date d'enregistrement, elle sera la même).

Ou peut-être vous pouvez utiliser l'ID utilisateur pour le sel, ou une combinaison entre l'ID utilisateur et reg.date et le nom d'utilisateur.

Edit: Votre approche est mieux que actualy hachant avec algorithme connu sans sel, mais pire que hachage + sel propper.

Ce que vous faites est simplement d'appliquer une fonction de hachage personnalisée. Cela ne peut pas être facilement forcé par la force sans connaître l'algorithme personnalisé, mais il est vulnérable aux autres attaques.

Et je suggère de ne pas placer une table avec le nom "SALT" dans la DB, car si DB est piraté l'attaquant wii obtenir les mots de passe ET les sels pour eux.