Salting my hashes con PHP y MySQL

Question

Como la mayoría de los usuarios, simplemente intento encontrar una forma segura de almacenar contraseñas. Lo que no he encontrado aquí (o tal vez es mi falta de comprensión) es cómo recuperar un hash salado en mi base de datos y separar la sal de la contraseña hash, especialmente con sales únicas para cada contraseña mientras se mantiene la contraseña sal + en una sola columna

estoy encontrando todas estas maneras frescas para cifrar contraseñas (SHA-256, pero ¿MySQL sólo el apoyo de SHA/1 y MD5?) Y otras cosas del manual de PHP, pero no sabe cómo almacenar y recuperar las contraseñas.

Por lo tanto, ahora esto es todo lo entiendo:

SHA('$salt'.'$password') // My query sends the password and salt 
         // (Should the $salt be a hash itself?) 

Después de eso estoy perdido con sales.

Recuperar la contraseña sin sal es fácil, pero la sal me confunde. ¿De dónde saco el valor de $ salt nuevamente, especialmente si es único y seguro? ¿Los escondo en otra base de datos? Constante (parece inseguro)?

EDIT: ¿Se supone que la variable clave en HMAC es sal o es otra cosa?

Answer 1

En primer lugar, su DBMS (MySQL) no necesita tener ningún apoyo a los hashes criptográficos. Puedes hacer todo eso en PHP, y eso es lo que deberías hacer.

Si desea almacenar sal y hash en la misma columna, debe concatenarlos.

// the plaintext password 
$password = (string) $_GET['password']; 

// you'll want better RNG in reality 
// make sure number is 4 chars long 
$salt = str_pad((string) rand(1, 1000), 4, '0', STR_PAD_LEFT); 

// you may want to use more measures here too 
// concatenate hash with salt 
$user_password = sha512($password . $salt) . $salt; 

Ahora, si desea verificar una contraseña que haces:

// the plaintext password 
$password = (string) $_GET['password']; 

// the hash from the db 
$user_password = $row['user_password']; 

// extract the salt 
// just cut off the last 4 chars 
$salt = substr($user_password, -4); 
$hash = substr($user_password, 0, -4); 

// verify 
if (sha512($password . $salt) == $hash) { 
    echo 'match'; 
} 

Es posible que desee echar un vistazo a phpass, que también utiliza esta técnica. Es una solución de hash de PHP que utiliza la salazón entre otras cosas.

Definitivamente, debe echarle un vistazo a la respuesta a la pregunta a la que se vinculó WolfOdrade.

Answer 2

Esto parece cubierto en profundidad en un post anterior: Secure hash and salt for PHP passwords

Answer 3

Personalmente recomiendo permitir que MySQL haga esto con sus funciones integradas.

La forma en que lo hago es crear una función en el archivo de configuración de mi base de datos que devuelve una cadena de clave. El archivo de configuración debe estar fuera de la raíz de su sitio para que el servidor web pueda acceder al archivo pero no a otros. así por ejemplo:

function enc_key(){ 
    return "aXfDs0DgssATa023GSEpxV"; 
} 

Luego, en la secuencia de comandos puede utilizar con la consulta SQL y funciones AES_ENCRYPT y AES_DECRYPT en MySQL como esto:

require_once('dbconf.inc.php'); 

$key = enc_key(); 

//When creating a new user 
$sql = "INSERT INTO users (username, password) VALUES ('bob', AES_ENCRYPT('{$key}', {$password}))"; 

//When retrieving users password 
$sql = "SELECT AES_DECRYPT('{$key}', password) AS password FROM users WHERE username like 'bob'";