2

Tengo una duda de cual sería el mejor algoritmo de hash en PHP 7.0 ya que han cambiado el tipo de hash, mejoras, etc.

Los que he visto han sido sha3 o sha-512, blake-512, salt, etc.

¿Podrían decirme cuál sería uno de los mejores en este momento y la forma de uso de éste?.

7
  • Yo uso bcrypt aunque ahora mismo se usa uno mejor lo lei en la página oficial de laravel, no recuerdo su nombre. Commented el 13 mar. 2018 a las 12:58
  • muchas gracias daniel mirare en laravel a ver que pone en su web y vere
    – Raul
    Commented el 13 mar. 2018 a las 13:20
  • Debes tener en cuenta que lo que estás haciendo no es cifrar datos, si no generar una huella (hash o digest), que es algo muy diferente. ¿Qué es lo que quieres hacer? ¿Cifrar datos o generar un hash? Commented el 13 mar. 2018 a las 13:32
  • en este caso generar un hash
    – Raul
    Commented el 13 mar. 2018 a las 13:41
  • Entonces permíteme que edite tu pregunta acorde con lo que estás preguntando y le doy un +1 a la respuesta que te han dado. Commented el 13 mar. 2018 a las 13:43

2 respuestas 2

2

Saludos una forma de hacerlo sería, con el método hash y pudiera quedar del modo siguiente:

$contrasenia = 'Alfredo';

echo password_hash($contrasenia, PASSWORD_OPTIONS);

La salida generada será similar a:

//$2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3R

Como puedes observar primero le paso como argumento, para generar el hash de tu password y luego parámetros opcionales que puedes dejar como PASSWORD_OPTIONS.

Ahora también te comento desde PHP 7.2 existe la implementación del método Argon pero necesitarías actualizar tu PHP y no se que tan viable sea en tu caso.

La recomendación es no uses los métodos que listaste, pues ya están obsoletos y muchos de ellos ya son fáciles de atacar

Para el caso del método password_verify; pudieras hacerlo del modo siguiente de todos modos prueba y nos dices

<?php 

$password_base_datos = 'Alfredo Paz';

if (password_verify('Alfredo Paz', $password_base_datos)) {
    echo 'Es correcta tu contraseña';
} else {
    echo 'No es correcta tu contraseña';
}

Donde por ejemplo $password_base_datos sería el valor que recibas por POST desde tu formulario

Y la cadena de texto 'Alfredo Paz' sería el valor de la base de datos que obtienes mediante una consulta para así verificar si ambos son el mismo valor

6
  • muchas gracias de nuevo shadow, creo que con el que me pasaste me servira, tampoco es que me vayan a romper la seguridad para un simple web, para el logeo seria con password_verify(), cierto?
    – Raul
    Commented el 13 mar. 2018 a las 13:20
  • asi es con password verify
    – user75901
    Commented el 13 mar. 2018 a las 13:22
  • ¿Podria hacer esto? password_hash($contrasenia, PASSWORD_OPTIONS, cost => 12);
    – Raul
    Commented el 13 mar. 2018 a las 13:37
  • asumo que te estas guiando en el ejemplo de la página de PHP y no así tal cual no, en todo caso sería $options = ['const' => 12]; y ya después en tu código que me acabas de escribir solo pasa el nombre de la variable $options como tercer argumento
    – user75901
    Commented el 13 mar. 2018 a las 13:45
  • 1
    Para darte mi +1, en mi opinión, deberías agregar enlaces a la documentación y una referencia o bien explicar el uso de password_verify. Commented el 13 mar. 2018 a las 13:46
1

password_hash() crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido.

Si usas

password_hash("hash", PASSWORD_DEFAULT);

Estarás usando el algoritmo bcrypt que está predeterminado a partir de PHP 5.5.0

Por defecto es suficientemente seguro, aunque hay una manera mejor o más segura. A partir de PHP 7.2, Argon2 es parte de un método recientemente implementado (hashing) que ganó la competencia Password Hashing, que ofrece un método más robusto, pero se deberá usar PHP 7.2 en adelante.

Su wiki dice:

Argon2, es el algoritmo para generar hash de contraseñas recomendado por la Competencia Password Hashing, es un algoritmo moderno para contraseñas hash seguras. Argon2 aborda varias desventajas clave de los algoritmos existentes en el sentido de que está diseñado para una tasa de llenado de memoria más alta, y usa múltiples unidades de computación efectivas a la vez que proporciona defensa contra ataques de compensación. A diferencia de Bcrypt, que solo requiere un factor de costo único, Argon2 se parametriza mediante tres factores distintos:

  • Un costo de memoria que define el uso de memoria del algoritmo
  • Un costo de tiempo que define el tiempo de ejecución del algoritmo y el número de iteraciones.
  • Y un factor de paralelismo, que define la cantidad de hilos paralelos

Para mas informacion puedes revisar el siguiente link:

https://framework.zend.com/blog/2017-08-17-php72-argon2-hash-password.html

Si actualizar a PHP 7.2 no es una opción, lo que se puede hacer es incrementar el costo .

El costo por default usando BCRYPT es igual a 10, al aumentar el parámetro de costo en 1, se duplica el tiempo necesario para calcular el valor de hash. El parámetro de costo es el logaritmo (base-2) del recuento de iteraciones, lo que significa:

$iteraciones = 2 ^ $costo;

Por ejemplo:

$hash = password_hash($password, PASSWORD_BCRYPT, ["cost" => 11]);
3
  • Gracias Juan Pinzon por responder probe con el metodo de shadow y me funciono, pero al intentar usar argon2 (probandolo) me daba error
    – Raul
    Commented el 14 mar. 2018 a las 17:06
  • @Raul si no tienes PHP 7.2 el uso de argon te va a lanzar errores. Commented el 14 mar. 2018 a las 17:24
  • me quedo de momento con el metodo anterior ya actualizare mas adelante, muchas gracias Juan Pinzon.
    – Raul
    Commented el 14 mar. 2018 a las 17:25

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.