Utilisez-vous correctement les instructions PDO et les instructions préparées pour une connexion sécurisée?

Question

Encore une fois à la recherche d'aide avec la sécurité PHP et un système de connexion. Vous vous demandez si je l'ai fait correctement ici. Si je n'étais pas assez précis, veuillez demander, Toute aide est grandement appréciée. J'essaie de créer un système de connexion sécurisé, juste à des fins d'apprentissage. voici le code:

require("constants.php"); 
$DBH = new mysqli($dbhost, $dbuser, $dbpass, $dbname); 

function createSalt() { 
    $length = mt_rand(64, 128); 
    $salt = ''; 
    for ($i = 0; $i < $length; $i++) { 
     $salt .= chr(mt_rand(33, 255)); 
    } 
    return $salt; 
} 
//Salt function created by ircmaxell 

function registerNewUser() { 
    //Check to see if  Username Is In Use// 
    $q = $DBH->prepare("SELECT id FROM users WHERE username = ?"); 
    $username = filter_var($username, FILTER_SANITIZE_STRING); 
    $data = array($username); 
    $q->execute($data); 
    $row = $q->fetch(); 

    if ($row === false) { 
     //If Username Is Not Already In Use Insert Data// 
     $hash = hash('sha256', $pass); 
     $salt = createSalt(); 
     $hash = hash('sha256', $salt . $hash . $pass); //UPDATED 
     $data = array($username, $hash, $salt); 
     $qInsert = $DBH->prepare(
      "INSERT INTO users (username, password, salt) values (?, ?, ?)" 
     ); 
     $qInsert->execute($data); //Inserts User Data Into Table// 
    } 
} 

Answer 1

Cela semble bon jusqu'à présent. J'ai trois suggestions, cependant:

1. Choisissez un sel plus
2. Ne pas stocker le sel et le mot de passe digérer séparément
3. Si votre connexion de base de données est de ne pas localhost utiliser un connecteur de base de données différente: AOP ne fonctionne pas (encore) en charge les connexions SSL

EDIT: en outre, valider l'entrée d'un client fournit un "nom d'utilisateur". Mais puisque votre exemple de code est juste un extrait je suppose que vous le faites. Quand j'ai dit «ne stockez pas le sel et le mot de passe séparément», je voulais dire incorporer le sel dans le hachage du mot de passe stocké. Puisque l'algorithme de hachage de votre choix produit une chaîne assez longue (64 caractères) composée de [0-9a-f], vous pourriez envisager de générer un sel de longueur aléatoire (crédits à ircmaxell ici) et soit concaténer cela au début ou fin du mot de passe hash. Donc, vous finirez par stocker des valeurs de longueur variable (96 - 128 caractères) la valeur de l'insignifiance (à l'extérieur):

$hash = hash('sha256', $pass); 
$salt = substr(hash('sha256', mt_rand(0, 1337)), mt_rand(0, 31), 32); 
$hash = $salt . hash('sha256', $salt . $hash . $pass); 

Answer 2

suggestion One. Ajouter le mot de passe dans la course de hachage de salage:

$hash = hash('sha256', $pass); 
$salt = createSalt(); 
$hash = hash('sha256', $salt . $hash . $pass); 

La raison est d'éviter les collisions (mais avec SHA-256 qui est assez peu probable). Disons qu'il est une chaîne foo qui entre en collision avec votre mot de passe bar lorsqu'il est exécuté par sha256 ... $hash du premier tour serait identique, de sorte que le second tour de hachage produira également des résultats identiques:

$hash = hash('sha256', 'foo'); // "test" for example 
$hash = hash('sha256', 'bar'); // "test" since it's a collision 

$newHash = hash('sha256', $salt . $hash); //The same for both foo and bar! 

Alors que si vous réintroduire le mot de passe dans le deuxième tour, il ne sera pas directement entrer en collision puisque la chaîne est différente pour chaque tour de hachage ...

Modifier: En ce qui concerne le salage, je recommanderais quelque chose comme ça (multiplateforme):

function createSalt() { 
    $length = mt_rand(64, 128); 
    $salt = ''; 
    for ($i = 0; $i < $length; $i++) { 
     $salt .= chr(mt_rand(33, 255)); 
    } 
    return $salt; 
} 

Il utilise des caractères en dehors de la plage normale (beaucoup plus élevée), mais exclut les caractères communs de contrôle et d'espace qui peuvent être supprimés par la base de données (ou supprimés). Notez qu'il renvoie une chaîne ISO-8859-1 (Latin-1) valide. Ce n'est pas une chaîne UTF-8 valide. Donc, assurez-vous que le jeu de caractères de la colonne est bon, ou dans le pire des cas 255 à 127 dans le code ci-dessus (mais cela réduit considérablement la force du sel) ...