password_hash() ו-password_verify() ב-PHP: שמירת סיסמאות

שמרו סיסמאות עם password_hash($password, PASSWORD_DEFAULT) ובדקו התחברות עם password_verify($password, $hash), שמחזירה true או false. לעולם אל תשמרו את הסיסמה עצמה, ולעולם אל תשתמשו בשבילה ב-md5() או ב-sha1().

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

הריצו את זה פעמיים: ה-hash שונה בכל פעם, ושתי הגרסאות מאומתות. אותו דבר נכון לכל hash בעמוד הזה, ולכן הפלט שלכם לא יתאים לשל אף אחד אחר.

התחברות עם password_verify

התחברות בודקת את הסיסמה שנשלחה מול ה-hash שנשמר כשהחשבון נוצר. הבלוק הזה "רושם" משתמש אחד ואז מציג טופס התחברות; נסו את הסיסמה הנכונה (hunter2), ואז סיסמה שגויה.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

הודעת השגיאה זהה לאימייל לא מוכר ולסיסמה שגויה. אמירה איזה מהם שגוי מגלה לתוקף לאילו אימיילים יש חשבונות. אחרי התחברות מוצלחת, אתר אמיתי שומר את מזהה המשתמש ב-session, כמו שמוצג בעמוד ה-sessions.

מה יש בתוך ה-hash

hash של bcrypt הוא מחרוזת אחת שמחזיקה את כל מה ש-password_verify() צריכה: את האלגוריתם, את ה-cost ואת ה-salt, ואחריהם את ה-hash עצמו. password_get_info() קוראת את החלקים הראשונים בחזרה.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

כיוון שה-salt שמור בתוך ה-hash, צריך רק עמודה אחת במסד הנתונים, ושני משתמשים עם אותה סיסמה עדיין מקבלים hashes שונים. הגדירו את העמודה כ-VARCHAR(255): bcrypt הוא 60 תווים, אבל PASSWORD_DEFAULT רשאית לעבור לאלגוריתם עם פלט ארוך יותר.

בחירת ה-cost

ה-cost קובע כמה איטי כל hash בכוונה, וכל צעד למעלה מכפיל את העבודה. PHP 8.3 משתמשת ב-cost 10 ל-bcrypt (PHP 8.4 העלתה את ברירת המחדל ל-12). התחברות צריכה לקחת בערך 100 עד 300 אלפיות שנייה של hashing; מדדו את זה בשרת שלכם:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

המספרים תלויים במכונה, אבל כל שורה צריכה להיות בערך פי שניים מהקודמת. גבוה יותר בטוח יותר מול פיצוח ואיטי יותר לכל התחברות, אז בחרו את ה-cost הגבוה ביותר שדף ההתחברות שלכם יכול להרשות לעצמו.

שדרוג hashes ישנים עם password_needs_rehash

כשמעלים את ה-cost או כש-PHP משנה את PASSWORD_DEFAULT, ה-hashes הקיימים ממשיכים לעבוד, ו-password_needs_rehash() אומרת לכם אילו מהם מיושנים. הרגע היחיד שבו הסיסמה הגלויה בידיים שלכם הוא ההתחברות, ולכן שם משדרגים:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

הקידומת $2y$10$ הופכת ל-$2y$12$, ובהתחברות הבאה password_needs_rehash() מחזירה false.

לעולם אל תשתמשו ב-md5 או ב-sha1 לסיסמאות

md5() ו-sha1() הן פונקציות hash כלליות ומהירות בלי salt. מהירות היא בדיוק הדבר הלא נכון לסיסמאות: תוקף עם טבלה שדלפה יכול לנסות מיליארדי ניחושים בשנייה על GPU, ו-hash בלי salt של סיסמה נפוצה כבר נמצא בטבלאות חיפוש ציבוריות. השוו את המהירות:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

בזמן ש-password_hash() יוצרת hash אחד, md5 יוצרת מאות אלפים, ולכן כל ניחוש של מפצח זול פי כך. חפשו את 5f4dcc3b5aa765d61d8327deb882cf99 ותמצאו מיד את המילה "password".

אם אתם יורשים טבלה של hashes ב-md5, אי אפשר להמיר אותם ישירות. עטפו אותם במקום זאת: שמרו password_hash($oldMd5) ואמתו עם password_verify(md5($input), $stored), ואז החליפו כל אחד ב-hash רגיל כשהמשתמש הזה מתחבר בפעם הבאה.

Argon2id ומגבלת 72 הבתים

PASSWORD_ARGON2ID משתמשת ביותר זיכרון לכל hash, וזה הופך פיצוח עם GPU ליקר הרבה יותר. היא זמינה כש-PHP נבנית עם libargon2 (רוב החבילות של Linux כוללות אותה); בדקו עם defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

השורה האחרונה מדפיסה bool(true): שתי סיסמאות שונות מתאימות כי bcrypt מתעלמת מכל מה שאחרי בית 72. סיסמאות אמיתיות מגיעות לשם לעיתים רחוקות, אבל משפטי סיסמה ביפנית או בכתבים מרובי בתים אחרים מגיעים ל-72 בתים בסביבות 24 תווים. אם אתם מאפשרים סיסמאות ארוכות מאוד, השתמשו ב-Argon2id, שאין לה מגבלה כזו. password_verify() עובדת עם כל אחד מהאלגוריתמים, ולכן אפשר לעבור עם password_needs_rehash() כמו למעלה.