База данных пользователей Re-Hash

Question

Мне было интересно, существует ли способ изменить способ использования моих паролей. Мой друг-кодер не был самым умным, когда он не добавлял соли к хэшу sha512. Так что теперь это очень неуверенно, и я хочу изменить это. Я думал о том, чтобы сделать сложный код для перефразирования, когда кто-то, у кого есть старый хэш-тип, входит в систему, и он установил бы переменную в true после добавления соли. Или я мог бы взять в настоящее время хешированные пароли и как-то сплавить в них соль. Я бы предпочел не сбрасывать свою пользовательскую базу данных, если мне это не нужно. Любая идея поможет. Я также довольно php noob, поэтому, пожалуйста, объясните, включаете ли вы код.

Это Хэширование с использованием этого метода.

<?php hash('sha512',"passwordhere") ?> 

Answer 1

1. Alter таблицу пользователей в столбец 'соль', значение 'NULL' по умолчанию.
2. Alter код входа, чтобы проверить, если пользователь имеет соль:
   • Если да, сравнить соленых хэшей и войти
   • Если нет:
     1. Сравнить с несоленые хэшей.
     2. Создайте случайные соли.
     3. Создайте свой соленый хеш.
     4. Сохраните новую соль и хэш в базе данных.
     5. Продолжите процесс входа в систему.

Конечно, вам также потребуется обновить код для регистрации, изменения пароля/восстановления и т.д.

В качестве альтернативы, вместо столбца «соли» можно положить в a 'hash_ver' и использовать это, чтобы определить, какой метод проверки использовать и когда обновлять хеш. Таким образом, если вы хотите использовать метод хеширования, в котором содержится соль с хешем, например, bcrypt, вы не застреваете, пытаясь понять, какой тип хэша вы имеете в виду.

Answer 2

$old_hash = hash('sha512',"passwordhere"); 
$salt = ''; // Generate salt here 
$new_hash = hash('sha512', $old_hash.$salt) ; 

Answer 3

Каждая система хранения паролей должна иметь возможность переключения на лучший алгоритм хеширования, ваша проблема не является проблемой одноразового переноса. В ответе на это question я попытался указать необходимые шаги.

Примечание: Быстрые алгоритмы хеширования, такие как SHA- *, не подходят для хеш-паролей, а вместо этого переключаются непосредственно на функцию медленного ввода ключей, такую ​​как BCrypt. Новая функция PHP password_hash() упростит хэширование (она создаст для вас безопасную соль), и это «будущее доказательство», и это сделает возможным переход в будущем.