Je crois que hash('sha256', $pw) est conforme à FIPS, mais je sais avec certitude qu'un vecteur d'attaque est possible avec cette fonction. De plus, il n'y a pas de sel (donc je devrais rencontrer cette implémentation et je préférerais ne pas le faire). Est-ce que password_hash/password_verify est compatible FIPS?Est-ce que PHP_hash est compatible FIPS?
n °
FIPS 140-2 does not certify password hashing algorithms. En tant que tel, password_hash ne peut pas être compatible avec la norme FIPS, parce que tout simplement FIPS ne s'applique pas. Pour autant que je sache, les implémentations de hachage utilisées par hash() (qui font partie du noyau PHP) n'ont pas été certifiées FIPS. Si vous avez spécifiquement besoin d'une implémentation conforme FIPS et que vous avez installé une bibliothèque OpenSSL conforme FIPS, vous pouvez utiliser openssl_digest() comme alternative. (Cependant, rappelez-vous que ce n'est pas une méthode sécurisée de stockage des mots de passe, même avec un sel!)
password_hash a un sel 'intégré'. Si c'est juste une question de l'algorithme de hachage particulier qu'il utilise, vous pouvez le décider. –
http://security.stackexchange.com/questions/98214/qui-pourrait--choisir-sha-such-as-sha-512-instead-of-bcrypt-or-pbkdf2-for-fips –