PBKDF2 хранение паролей - как проверить?

Question

Я пытаюсь выяснить, как проверить пароль во время входа в систему при использовании PBKDF2. Я использую PHP, поэтому вот базовый код генерации пароля:

$salt = mcrypt_create_iv(16, MCRYPT_DEV_URANDOM); 
echo hash_pbkdf2('sha256', 'password', $salt, 1000, 32); 

Я сохранил этот хешированный пароль в базе данных. Я не знаю, как проверить этот пароль на вход входа, поскольку у меня нет соли, и соль генерируется случайным образом для каждого пользователя. Как я могу «извлечь» соль из сохраненного пароля, добавить его к введенному паролю и проверить результат на сохраненный пароль?

Answer 1

Вы должны хранить соль вместе с хэш, например:

$hash = $salt . '|' . hash_pbkdf2(.., .., $salt, ..); 

Вы можете потом извлечь соль из нее снова и кормить его обратно в алгоритм проверки. Фактически, вы должны сделать это со всеми соответствующими входными параметрами для хэша (за исключением самого пароля, очевидно), чтобы позволить вам поменять ваш алгоритм позже по мере необходимости, все еще имея возможность проверять уже хэшированные пароли:

$hash = $algo . '|' . $salt . '|' . $rounds . '|' . hash_pbkdf2($algo, .., $salt, $rounds, ..); 

Фактически, вы должны использовать API crypt, который уже делает это так.

Но на самом деле, вы должны использовать password_hash, который является удобной оболочкой вокруг crypt, которая гарантирует, что вы сделаете это правильно.