PHP AES шифрования паролей и хэшей

Question

Сегодня я прочитал о AES ( dvanced E ncryption S tandard), и я задавал себе вопросы, которые у меня нет знаний, чтобы ответить на их сам.

В Википедии я читал, что AES безопасен для использования даже для файлов Top Secret, и до сих пор никто не нашел способ взломать его. Действительно, некоторые попытки использовать атаки Side-chanel, но это не так, потому что он не атакует само шифрование.

В свете того, что я читал об этом, мне было интересно, следует ли использовать AES для шифрования паролей в моей БД? Я могу сохранить зашифрованный пароль или, скорее, использовать функцию hash() для шифрования AES-шифрования строки в базе данных, которая дает ей как-то «двухслойную» защиту. Я мог бы быть совершенно неправ здесь, мне просто интересно, в чем причина, почему это не так часто, когда дело доходит до хранения зашифрованных строк в БД. Я думаю, это потому, что есть метод дешифрования, но все же, чтобы расшифровать его, вам нужно будет знать, сколько раундов используется для шифрования кода.

Заранее благодарен!

Answer 1

Должен ли я использовать AES для шифрования паролей в моей БД?

Проблема с хранением зашифрованных паролей (вместо хеш-значений) заключается в том, что шифрование является обратимым. Очень редко на самом деле нужно хранить пароли, а не просто иметь механизм аутентификации пользователей. Шифрованные (обратимые) пароли - это , а не, и у вас должна быть очень сильная причина для игнорирования этой практики.

Я могу сохранить зашифрованный пароль, или, вернее, использовать хэш-функции() для шифрования AES шифрование строки в базе данных, которая дает ему как-то «двойной» слоистую защиту.

Трудно сказать, что вы здесь задаете, но я думаю, вы спрашиваете, сделает ли шифрование хэш-значение вашей системой более безопасной.

Ответ да, если вы храните ключ для этого шифрования надежно и отдельно от хеша. Однако это только добавляет столько защиты, сколько обеспечивает разделение. Стоит ли усложнять приложение, особенно учитывая тот факт, что соленые и хешированные значения с использованием достойного алгоритма хэширования должны быть достаточно хорошими?

Я чувствую, что если бы зашифрованные хэши стоили того, это была бы стандартная практика, и это не так.