Según profesionales e investigadores de la seguridad existen solo 4 algoritmo de hash de confianza:
- Argon2
- bycrypt
- scrypt
- PBKDF2 (Password-Based Key Derivation Function #2)
Para la mayoría de los desarrolladores de PHP
los cuales no pueden instalar paquetes PECL
en sus entornos de producción, scrypt
no es una opción. Si puede utilizar scrypt
, por favor, úsenlo.
Dada la posibilidad de elegir entre bcrypt
y PBKDF2
, debamos elegir bcrypt
.
Además, deben utilizar el existente password_hash()
y password_verify()
en lugar de escribir su propia aplicación basada en crypt()
.
Debemos abstenernos de generar nuestra propia Salt; dejar que password_hash()
se ocupa a generar dicho Salt.
Limitaciones de bcrypt
Hay dos advertencias en bcrypt
que cada desarrollador debe tener en cuenta:
Se trunca contraseñas de 72
caracteres y también en NULL
bytes. Muchos desarrolladores tratan de resolver el problema de límite de 72
caracteres por pre-hash de la clave del usuario, lo que puede desencadenar la segunda.
Un ejemplo peligroso:
$stored = password_hash(hash('sha256', $_POST['password'], true), PASSWORD_DEFAULT);
// ...
if (password_verify(hash('sha256', $_POST['password'], true), $stored)) {
// Success :D
} else {
// Failure :(
}
Existe la posibilidad de no trivial que uno de los bytes
primas en el hash
habrá 0x00
. Cuanto antes este byte
aparece en la cadena, el costo de encontrar una colisión se vuelve exponencialmente más barato.
Por ejemplo, tanto 1]W
y @1$
produce una salida de hash SHA-256
que comienza con ab00
.
La solución, por tanto, sería pasar el hash SHA-256
da salida a través de prima base64_encode()
antes de pasarlos a bcrypt
:
$stored = password_hash(
base64_encode(
hash('sha256', $_POST['password'], true)
),
PASSWORD_DEFAULT
);
// ...
if (password_verify(
base64_encode(
hash('sha256', $_POST['password'], true)
),
$stored
)) {
// Success :D
} else {
// Failure :(
}
El ejemplo anterior no se trunca a los 72
caracteres y es totalmente segura binario, por lo que los primeros bytes
nulos no conducirá a la debilidad de la seguridad. Lo mejor de ambos mundos.
Además, es posible que desee utilizar SHA-384
en lugar de SHA-256
, desde SHA-256
es vulnerable a los ataques de la longitud de extensión y SHA-384
no lo es.
Mas información:
Código Fuente