Ako správne hashovať heslo

To bol príklad samozrejme napríklad Email by už mal byť unikátny ako to riešiš v tomto prípade. Ja by som niečo polepil len ma zaujíma ten správny postup.

https://secure.php.net/…password.php

Ukázka Nette Password je v UserManageru, viz můj předchozí post.

@iGavrilo: příklad máš na tom linku, který sem už házel @CZechBoY. Pro jistotu znovu, tady: https://github.com/…rManager.php

Vastlik napsal(a):

Rozhodne bych nepouzil sha256, používej spíš bcrypt. Osobně bych použil nativní funkce Nette nebo PHP.

sha256 jsem používal kvůli napojení na Minecraft systém (přihlašování na mc server,nakupování apod..), a už mi to zůstalo :). Jinak díky za radu, určo si s tím zkusím pohrát :)

PS: Proč by mělo být více uživatelů se stejným jménem ? Vždyť se jedná o přihlašovací jméno a to by mělo být unikátní ne? Příklad: někdo kdo má stejné jméno si splete heslo a čirou náhodou se přihlásí na jiného uživatele. Vím, že je strašně malá pravděpodobnost, ale i tak, a navíc je lepší uživatele rozlišovat podle jméno například kvůli fóru :)

Editoval Zuben45 (17. 12. 2015 8:57)

Vastlik napsal(a):

Zapomněl jsem poslat zdroj. http://crypto.stackexchange.com/…vs-hash-salt
Jinak důvod proč používat bcrypt je z důvodu toho, že jeho algoritmus je navržen na tvorbu hesel, takže je naschvál pomalejší a chrání tak proti crackovani bruteforce.

ach tak :), koukám že PHP už toto využívá v fcích http://php.net/…password.php :)

Jen teď budu muset překopat všechny uživatelské hesla :), napadá mě akorát využití fce na hesla co mám a ten obalit do

password_hash

Editoval Zuben45 (17. 12. 2015 9:14)

@Zuben45 koukal jsi sem? https://github.com/…rManager.php#L49. Staci pouzit tu tridu Passwords a pokud bude nevyhovujici hash, tak ti to prehashuje

@Zuben45 NIkde tam opravu hashe nevidim, takže nezvládne.
Minusy máš za to, že

1. vkládáš celkem nečitelnej kod
2. napojení na již existující systém, na který se tazatel neptal
3. nechápu jak můžeš mít dvě funkce calculateHash, když by měl bejt výsledek hashování vždycky stejnej

CZechBoY napsal(a):

@Zuben45 NIkde tam opravu hashe nevidim, takže nezvládne.
Minusy máš za to, že

1. vkládáš celkem nečitelnej kod
2. napojení na již existující systém, na který se tazatel neptal
3. nechápu jak můžeš mít dvě funkce calculateHash, když by měl bejt výsledek hashování vždycky stejnej

Aha, no mělo to být jen jako ukázka. za 2. bod se omlouvám a u 3. Musí tam být dva a to kvůli této části u registrace:

for ($i = 0; $i < 17; $i++) {
        $n = rand(0, $alphaLength);
        $pass[] = $alphabet[$n];
      }

Vastlik napsal(a):

@Zuben45 ta funkce dělá to, že veme hash co mas zjistí, jestli sedí s algoritmem co používas a pokud ne, prehashuje ho.
Myslim, že takhle funguje, možná mě někdo opraví.
Takže by to mělo fungovat i na tvůj algoritmus. :)

Dobře, díky moc, určitě vyzkouším.

Editoval Zuben45 (17. 12. 2015 11:47)