Comment générer un bon de sel Est ma fonction assez sécurisé?

Si vous êtes le hachage des mots de passe, vous devez utiliser un moderne algorithme de hachage qui ne vous obligent pas à générer votre propre sel. À l'aide de la faiblesse des algorithmes de hachage présente un danger pour vous et vos utilisateurs. Ma réponse a été écrit il y a huit ans. Les temps ont changé, et le hachage de mot de passe est beaucoup plus facile maintenant.

Vous devriez toujours l'utilisation intégrée des fonctions de hachage/vérifier les mots de passe. À l'aide de vos propres algorithmes à tout point introduit une énorme quantité de risque inutile.

Pour PHP, utilisez password_hash(), avec la PASSWORD_BCRYPT algorithme. Il n'est pas nécessaire de fournir votre propre sel.

Ci-dessous est ma réponse originale à cette question, pour la postérité:

---

Avertissement: La suite de la mise en œuvre n'est pas de produire une imprévisible de sel, selon les documents pour uniqid.

De la php sha1 page:

$salt = uniqid(mt_rand(), true);

Cela semble plus simple et plus efficace (puisque chacun est unique) que ce que vous avez proposé.

password_hash() est disponible dans PHP 5.5 et versions plus récentes. Je suis surpris d'apprendre qu'il n'est pas mentionné ici.

Avec password_hash() il n'est pas nécessaire de générer un sel, car le sel est automatiquement généré à l'aide de la bcrypt algorithme -- et, par conséquent, pas besoin de faire un ensemble de caractères.

Au lieu de cela, soumis par l'utilisateur, le mot de passe est par rapport à l'unique hachage de mot de passe stocké dans la base de données à l'aide de password_verify(). Enregistrer nom d'utilisateur et le hachage de Mot de passe de l'utilisateur table de base de données, vous serez en mesure de le comparer à un soumis par l'utilisateur mot de passe à l'aide de password_verify().

Comment hachage de mot de passe () ing travaux:

La password_hash() fonction génère un mot de passe unique de hachage, lors du stockage de la chaîne de caractères dans une base de données, il est recommandé que la colonne permet d'avoir jusqu'à 255 caractères.

$password = "goat";
echo password_hash($password, PASSWORD_DEFAULT);
echo password_hash($password, PASSWORD_DEFAULT);
echo password_hash($password, PASSWORD_DEFAULT);

//Output example (store this in the database)
$2y$10$GBIQaf6gEeU9im8RTKhIgOZ5q5haDA.A5GzocSr5CR.sU8OUsCUwq  <- This hash changes.
$2y$10$7.y.lLyEHKfpxTRnT4HmweDKWojTLo1Ra0hXXlAC4ra1pfneAbj0K
$2y$10$5m8sFNEpJLBfMt/3A0BI5uH4CKep2hiNI1/BnDIG0PpLXpQzIHG8y 

Pour vérifier un mot de passe haché, vous utilisez password_verify():

$password_enc = password_hash("goat", PASSWORD_DEFAULT);
dump(password_verify('goat', $password_enc)); //TRUE
dump(password_verify('fish', $password_enc)); //FALSE

Si vous préférez, le sel peut être ajouté manuellement comme une option, comme suit:

$password = 'MyPassword';
$salt = 'MySaltThatUsesALongAndImpossibleToRememberSentence+NumbersSuch@7913';
$hash = password_hash($password, PASSWORD_DEFAULT, ['salt'=>$salt]);
//Output: $2y$10$TXlTYWx0VGhhdFVzZXNBT.ApoIjIiwyhEvKC9Ok5qzVcSal7T8CTu  <- This password hash not change.

Je voudrais prendre conseil auprès d'une autre réponse et l'utilisation la fonction mt_rand(0, 61), parce que le nombre de Mersenne Twister produit de meilleurs entropie.

En outre, votre fonction est vraiment deux parties: la génération aléatoire d' $nbLetters chiffres et l'encodage dans base62. Cela rendra les choses beaucoup plus clair pour un entretien programmeur (peut-être vous!) qui bute sur quelques années en bas de la route:

//In a class somewhere
private $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";

private function getBase62Char($num) {
    return $chars[$num];
}

public function generateRandomString($nbLetters){
    $randString="";

    for($i=0; $i < $nbLetters; $i++){
        $randChar = getBase62Char(mt_rand(0,61));
        $randString .= $randChar;
    }

    return $randomString;
}

Ici est une bien meilleure façon, si vous avez windows et ne peux pas faire de /dev/random.

//Key generator
$salt = base64_encode(openssl_random_pseudo_bytes(128, $secure));
//The variable $secure is given by openssl_random_ps... and it will give a true or false if its tru then it means that the salt is secure for cryptologic.
while(!$secure){
$salt = base64_encode(openssl_random_pseudo_bytes(128, $secure));
}

Une technique assez simple:

$a = array('a', 'b', ...., 'A', 'B', ..., '9');
shuffle($a);
$salt = substr(implode($a), 0, 2);  //or whatever sized salt is wanted

Contrairement à uniqid (), il génère un résultat aléatoire.

Si vous voulez ultime unique sel, vous devez utiliser une unique valeur entrée et requis par l'utilisateur, telles que le courrier électronique ou le nom d'utilisateur, puis de hachage en utilisant sha1 puis fusionnez - concaténer avec le sel de la valeur générée par votre code.

Un autre, vous devez prolonger $charUniverse par le moyen de certains caractères spéciaux tels que @,!#- etc.