PHP password_hash() und password_verify(): Passwörter

Speichere Passwörter mit password_hash($password, PASSWORD_DEFAULT) und prüfe einen Login mit password_verify($password, $hash), das true oder false liefert. Speichere nie das Passwort selbst, und verwende dafür nie md5() oder sha1().

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

Führe es zweimal aus: Der Hash ist jedes Mal anders, und beide Versionen bestehen die Prüfung. Dasselbe gilt für jeden Hash auf dieser Seite, also stimmt deine Ausgabe mit keiner anderen überein.

Mit password_verify anmelden

Ein Login prüft das gesendete Passwort gegen den Hash, der beim Anlegen des Kontos gespeichert wurde. Dieser Block „registriert“ einen Nutzer und zeigt dann ein Login-Formular; probier das richtige Passwort (hunter2) und dann ein falsches.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

Die Fehlermeldung ist bei einer unbekannten E-Mail und einem falschen Passwort dieselbe. Zu sagen, was falsch war, verrät einem Angreifer, welche E-Mails ein Konto haben. Nach einem erfolgreichen Login speichert eine echte Website die Nutzer-ID in der Session, wie auf der Seite zu Sessions gezeigt.

Was im Hash steckt

Ein bcrypt-Hash ist ein String, der alles enthält, was password_verify() braucht: den Algorithmus, die Cost und das Salt, gefolgt vom eigentlichen Hash. password_get_info() liest die ersten Teile zurück.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

Weil das Salt im Hash gespeichert ist, brauchst du nur eine Datenbankspalte, und zwei Nutzer mit demselben Passwort bekommen trotzdem verschiedene Hashes. Mach diese Spalte zu VARCHAR(255): bcrypt ist 60 Zeichen lang, aber PASSWORD_DEFAULT darf zu einem Algorithmus mit längerer Ausgabe wechseln.

Die Cost wählen

Die Cost bestimmt, wie langsam jeder Hash absichtlich ist, und jede Stufe nach oben verdoppelt die Arbeit. PHP 8.3 verwendet für bcrypt die Cost 10 (PHP 8.4 hat den Standard auf 12 angehoben). Ein Login sollte etwa 100 bis 300 ms mit Hashen verbringen; miss es auf deinem eigenen Server:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

Die Zahlen hängen vom Rechner ab, aber jede Zeile sollte etwa doppelt so lang sein wie die davor. Höher ist sicherer gegen Knacken und langsamer bei jedem Login, also wähl die höchste Cost, die sich deine Login-Seite leisten kann.

Alte Hashes mit password_needs_rehash aktualisieren

Wenn du die Cost erhöhst oder PHP PASSWORD_DEFAULT ändert, funktionieren bestehende Hashes weiter, und password_needs_rehash() sagt dir, welche veraltet sind. Den einzigen Moment, in dem du das Klartext-Passwort hast, gibt es beim Login, also aktualisierst du dort:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

Das Präfix $2y$10$ wird zu $2y$12$, und beim nächsten Login liefert password_needs_rehash() false.

Nie md5 oder sha1 für Passwörter

md5() und sha1() sind schnelle allgemeine Hashes ohne Salt. Schnell ist für Passwörter genau falsch: Ein Angreifer mit einer geleakten Tabelle kann auf einer GPU Milliarden Versuche pro Sekunde machen, und ein Hash ohne Salt eines gängigen Passworts steht bereits in öffentlichen Nachschlagetabellen. Vergleiche die Geschwindigkeit:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

In der Zeit, in der password_hash() einen Hash erzeugt, erzeugt md5 Hunderttausende, also ist jeder Rateversuch eines Angreifers entsprechend billiger. Such nach 5f4dcc3b5aa765d61d8327deb882cf99, und du findest sofort das Wort „password“.

Wenn du eine Tabelle mit md5-Hashes erbst, kannst du sie nicht direkt umwandeln. Pack sie stattdessen ein: Speichere password_hash($oldMd5), prüfe mit password_verify(md5($input), $stored) und ersetze jeden davon durch einen normalen Hash, wenn sich dieser Nutzer das nächste Mal anmeldet.

Argon2id und die Grenze von 72 Bytes

PASSWORD_ARGON2ID verwendet pro Hash mehr Speicher, was das Knacken mit GPUs viel teurer macht. Es ist verfügbar, wenn PHP mit libargon2 gebaut wurde (bei den meisten Linux-Paketen der Fall); prüfe es mit defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

Die letzte Zeile gibt bool(true) aus: Zwei verschiedene Passwörter passen, weil bcrypt alles nach Byte 72 ignoriert. Echte Passwörter erreichen das selten, aber Passphrasen in Japanisch oder anderen Multibyte-Schriften erreichen 72 Bytes schon bei etwa 24 Zeichen. Wenn du sehr lange Passwörter erlaubst, verwende Argon2id, das keine solche Grenze hat. password_verify() funktioniert mit beiden Algorithmen, also kannst du wie oben mit password_needs_rehash() wechseln.