Ya que tu pregunta se basa un poco en opiniones, voy a dejar un artículo que me gustó mucho sobre el correcto uso en seguridad.
¿Todavía hay programadores web que utilizan funciones hash criptográficas rápidos como MD5
y SHA1
para almacenamiento de contraseñas en el 2015? Ha quedado claro para los expertos en seguridad que esta es una mala práctica.
La solución más fácil: Uso libsodium
, que proporciona una API
de hash de contraseñas seguras en la mayoría de los idiomas. Desde la versión 1.0.9
, libsodium
entrega ARGON2
, la más reciente, algoritmo seleccionado cuidadosamente desde el hashing de contraseñas en la competencia. Libsodium
ofrece fijaciones para la mayoría de los lenguajes de programación.
Documentación Libsodium
Librería Libsodium
Fuente
Si, por cualquier razón, no puede conciliar sus necesidades con la instalación de libsodium
, usted tiene otras opciones.
Sistemas de almacenamiento de contraseñas aceptables
Según profesionales e investigadores de la seguridad existen solo 4 algoritmo de hash de confianza:
- Argon2
- bycrypt
- scrypt
- PBKDF2 (Password-Based Key Derivation Function #2)
Para la mayoría de los desarrolladores de PHP
los cuales no pueden instalar paquetes PECL
en sus entornos de producción, scrypt
no es una opción. Si puede utilizar scrypt
, por favor, úsenlo.
Dada la posibilidad de elegir entre bcrypt
y PBKDF2
, debamos elegir bcrypt
.
Además, deben utilizar el existente password_hash()
y password_verify()
en lugar de escribir su propia aplicación basada en crypt()
.
Debemos abstenernos de generar nuestra propia Salt; dejar que password_hash()
se ocupa a generar dicho Salt.
Limitaciones de bcrypt
Hay dos advertencias en bcrypt
que cada desarrollador debe tener en cuenta:
Se trunca contraseñas de 72
caracteres y también en NULL
bytes. Muchos desarrolladores tratan de resolver el problema de límite de 72
caracteres por pre-hash de la clave del usuario, lo que puede desencadenar la segunda.
Un ejemplo peligroso:
$almacenado = password_hash(hash('sha256', $_POST['password'], true), PASSWORD_DEFAULT);
// ...
if (password_verify(hash('sha256', $_POST['password'], true), $almacenado)) {
// La contraseña coincide :D
} else {
// La contraseña no coincide :(
}
Existe la posibilidad de no trivial que uno de los bytes
primas en el hash
habrá 0x00
. Cuanto antes este byte
aparece en la cadena, el costo de encontrar una colisión se vuelve exponencialmente más barato.
Por ejemplo, tanto 1]W
y @1$
produce una salida de hash SHA-256
que comienza con ab00
.
La solución, por tanto, sería pasar el hash SHA-256
da salida a través de prima base64_encode()
antes de pasarlos a bcrypt
:
$almacenado = password_hash(
base64_encode(
hash('sha256', $_POST['password'], true)
),
PASSWORD_DEFAULT
);
// ...
if (password_verify(
base64_encode(
hash('sha256', $_POST['password'], true)
),
$almacenado
)) {
// La contraseña coincide :D
} else {
// La contraseña no coincide :(
}
El ejemplo anterior no se trunca a los 72
caracteres y es totalmente segura binario, por lo que los primeros bytes
nulos no conducirá a la debilidad de la seguridad. Lo mejor de ambos mundos.
Además, es posible que desee utilizar SHA-384
en lugar de SHA-256
, desde SHA-256
es vulnerable a los ataques de la longitud de extensión y SHA-384
no lo es.
Mas información:
Código Fuente