2

在我开始之前，我想为再次提出这个主题而道歉，正如许多用户所做的那样，但是通过我所做的研究，我对我的发现并不满意。我只是希望在这里提出一些真正有用的东西。

由于 md5 或 sha1 被认为是不好的做法（即使使用盐？？？），我试图创建这个函数来散列我的密码

$password = $_POST['password']; // lets say that my password is: my_sercretp@ssword123
function encrypt_the_password($password){
    $salt = "lorem_ipsumd0l0rs1t@m3tc0ns3ct3tur@d1p1sc1ng3lit";
    return hash('sha256', $salt.$password);// can use also different algorithm like sha512 or whirlpool
}
$hashed_password = encrypt_the_password($password);

请注意，我在只有一个用户的个人网站中使用它，我。如果有多个用户，我会想出这样的方法：

$password = $_POST['password'];
function generate_salt() {
    $salt = uniqid(md5("lorem_ipsumd0l0rs1t@m3tc0ns3ct3tur@d1p1sc1ng3lit".microtime()));
    $salt = hash('sha256', $salt);// can use also different algorithm like sha512 or whirlpool
    return $salt;
}
function encrypt_the_password($password,$salt){
   return hash('sha256', $salt.$password);// can use also different algorithm like sha512 or whirlpool
}
$hashed_password = encrypt_the_password($password,generate_salt());

这是否足够安全（在每种情况下）还是可以进一步改进？？？

我的编辑：我尝试使用 crypt() 函数想出一些新的东西。如果网站只有一个用户管理员，这是我的代码：

$password = $_POST['password'];
$salt = "L0r3mIpsUmD0l0rS1tAm3t";
$hashed_password = crypt($password', '$2a$12$' . $salt);

如果网站有多个用户：

$password = $_POST['password'];
function generate_salt() {
        $salt = uniqid(sha1("L0r3mIpsUmD0l0rS1tAm3tc0ns3CT3tur4d1p1sc1ng3lit".microtime()));
        $salt = substr(sha1($salt), 0, 22);
        return $salt;
}
$hashed_password = crypt($password', '$2a$12$' . generate_salt());

这可以还是需要改进？？？

4

2 回答 2

6

通过不编写自己的算法来改进它。您的算法是不安全的，因为您的盐是恒定的，并且您只使用 SHA256 的一次迭代进行散列，这在计算上很便宜。

Instead, use Bcrypt, which is both computationally expensive and verified by people who know what they're doing, so it's much safer than your solution.

于 2013-03-29T08:38:42.050 回答
3

您应该使用 PHP 5.5 中内置的密码功能。ircmaxell 有一个后备库，可以提供早期版本 PHP 中的功能：https ://github.com/ircmaxell/password_compat

它将始终使用可用的最新散列技术，以防万一甚至为您更新记录。确保您阅读了该库随附的自述文件。

不要制作自己的散列函数。

于 2013-03-29T08:38:07.313 回答