Поведение PHP password_hash()

Question

Я искал лучший способ шифрования паролей для использования с моей панелью, я решил продолжить использование BCRYPT, просто из-за стоимости каждого шифрования и того факта, что он вообще считается одним из лучших в настоящее время.

Я использую двухсторонние соли, поэтому уникальная соль, которую каждый пользователь имеет, а затем, очевидно, соль, хранящаяся в моем приложении, я заметил некоторое довольно странное поведение .. и, согласно документации PHP, это обычное поведение?

Во всяком случае, вот код, я использую:

$Crypto = new Crypto; 
echo $Crypto->encrypt("123456789abcdefghijklm", "StackOverflow_Is_Awesome!"); // First parameter being the "User Salt", second being the password. 

// Above outputs $2y$13$123456789abcdefghijkleepFY8JLvsf2YbnWolqQyO3DIzrCeNIu 

И теперь класс Crypto:

<?php 
// ASSUMING $this->hashingSalt = HBSNi3y7ruhbVGkhdg83ijdbvghiojkgudL;JP 
class Crypto { 

private $hashingSalt, $database; 

public function __construct($salt) 
{ 
    $this->hashingSalt = $salt; 
    $this->database = new DatabaseFunctions(); 
} 

public function encrypt($salt, $password) 
{ 
    $options = array(
     'cost' => 13, 
     'salt' => $salt //22 chars 
    ); 

    return password_hash($password . $this->hashingSalt, PASSWORD_BCRYPT, $options); 
} 
} 

Итак, мой интерес, почему на Земле эта функция просто добавить соль установить в параметрах начало строки? Это действительно озадачивает ... потому что это не совсем то, что я бы назвал безопасным, скорее поражает объект для меня.

Может ли кто-нибудь посоветовать, попытаться объяснить, что я полностью просматриваю? Благодаря

PHP Doc: http://php.net/manual/en/function.password-hash.php

Answer 1

соль есть, чтобы предотвратить возможность создания предварительно вычисленной таблицы с хэш и это не означает оставаться в безопасности, как только «плохие парни» получить в свои руки хэш ,

Кроме того, что вы делаете:

, а затем, очевидно, соль хранится в моем приложении

называется перец (и на самом деле не так очевидно, чтобы сделать) и AFAIK это hasn» Было доказано, что он более безопасен. Для получения дополнительной информации прочтите этот блогпост (также автор пароля API): http://blog.ircmaxell.com/2012/04/properly-salting-passwords-case-against.html

Также обратите внимание, что ваш метод под названием encrypt не шифрует ничего. Шифрование - это два пути. То, что вы делаете, называется хешированием: https://stackoverflow.com/a/4948393/508666