Алгоритм шифрования пароля

Question

Я хочу разработать веб-приложение, в котором пользователи могут входить в систему, вставляя свой адрес электронной почты и пароль (выбирается при регистрации). Я хочу знать, какой будет лучший алгоритм хэширования паролей. Я прочитал, что bcrypt - хороший вариант, но какой алгоритм использует такие сайты, как facebook?

Answer 1

Вы хотите сохранить хэш и соль в своей базе данных и использовать их для аутентификации. Эта статья, в частности, была очень полезной для меня, когда я это сделал: http://www.codeproject.com/Articles/704865/Salted-Password-Hashing-Doing-it-Right

Answer 2

Вы никогда не должны хранить пароль, даже если он зашифрован. Потому что что-то зашифрованное может быть дешифровано, поэтому злоумышленник может сделать то же самое. Google для «хэширования» и «соления», возможно, у OWASP есть рекомендации, как это сделать должным образом. Я считаю, что хранение зашифрованных паролей будет в списке уязвимостей.

Answer 3

Я написал 2 функции для обработки паролей. Первый принимает строку (т. Е. Ваш пароль) и возвращает хеш-залив. Он принимает хеш MD5 времени и добавляет его в строку. Затем он принимает хэш SHA256 этой строки. Затем он добавляет исходный хеш MD5 в хэш SHA256. Функция возвращает эту 96-символьную строку. Вторая функция принимает 2 строки в качестве этих аргументов (проверяется пароль и хеш пароля, с которым вы его протестировали) и возвращает логическое значение. Это PHP, но логика, конечно, переносима.

function hash_password($password){ 
    $md5 = strtoupper(hash('md5', time())); 
    $hash = $md5 . strtoupper(hash('sha256', $md5 . $password)); 
    return $hash; 
    } 

function test_password($password, $hash){ 
    $md5 = substr($hash, 0, 32); 
    $sha256 = substr($hash, 32); 

    if($sha256 == strtoupper(hash('sha256', $md5 . $password))) 
     return true; 
    else 
     return false; 
    }