PHPのpassword_hash()とpassword_verify()：パスワードの保存

パスワードはpassword_hash($password, PASSWORD_DEFAULT)で保存し、ログインはtrueかfalseを返すpassword_verify($password, $hash)で確認します。パスワードそのものを保存してはいけませんし、それにmd5()やsha1()を使ってもいけません。

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

2回実行してみてください。ハッシュは毎回違いますが、どちらも検証に通ります。このページのすべてのハッシュについて同じことが言えるので、あなたの出力はほかの誰のものとも一致しません。

password_verifyでログインする

ログインでは、送信されたパスワードを、アカウント作成時に保存したハッシュと照合します。このブロックはユーザーを1人「登録」してから、ログインフォームを表示します。正しいパスワード（hunter2）を試してから、間違ったものを試してください。

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

エラーメッセージは、存在しないメールアドレスでも間違ったパスワードでも同じです。どちらが間違っていたかを伝えると、どのメールアドレスにアカウントがあるかを攻撃者に教えてしまいます。ログインに成功したら、本物のサイトではセッションのページで示しているように、ユーザーIDをセッションに保存します。

ハッシュの中身

bcryptのハッシュは、password_verify()が必要とするものをすべて持つ1つの文字列です。アルゴリズム、コスト、ソルト、そのあとにハッシュそのものが続きます。password_get_info()は先頭の部分を読み戻します。

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

ソルトがハッシュの中に保存されているので、データベースのカラムは1つで済み、同じパスワードの2人のユーザーも違うハッシュになります。そのカラムはVARCHAR(255)にしましょう。bcryptは60文字ですが、PASSWORD_DEFAULTはより長い出力のアルゴリズムに変わることが許されています。

コストを選ぶ

コストは、各ハッシュをわざとどれだけ遅くするかで、1段上げるごとに処理量が2倍になります。PHP 8.3はbcryptにコスト10を使います（PHP 8.4でデフォルトが12に上がりました）。ログインのハッシュ化にはおよそ100から300ミリ秒かかるのが目安で、自分のサーバーで計測しましょう。

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

数値はマシンによって違いますが、各行は前の行のおよそ2倍になるはずです。高いほど解析に強く、すべてのログインが遅くなるので、ログインページが許容できるいちばん高いコストを選びましょう。

password_needs_rehashで古いハッシュを更新する

コストを上げたりPHPがPASSWORD_DEFAULTを変えたりしても、既存のハッシュは動き続け、password_needs_rehash()がどれが古くなったかを教えてくれます。平文のパスワードが手元にあるのはログインの瞬間だけなので、そこで更新します。

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

接頭辞の$2y$10$が$2y$12$になり、次のログインではpassword_needs_rehash()がfalseを返します。

パスワードに決してmd5やsha1を使わない

md5()とsha1()は、ソルトのない高速な汎用ハッシュです。パスワードにとって高速であることはまさに間違いです。漏えいしたテーブルを持つ攻撃者はGPUで1秒間に何十億回も推測でき、よくあるパスワードのソルトなしのハッシュはすでに公開された照合表に載っています。速さを比べてみてください。

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

password_hash()が1つのハッシュを作る間に、md5は何十万個も作るので、解析する側のすべての推測がそれだけ安くなります。5f4dcc3b5aa765d61d8327deb882cf99で検索すると、すぐに「password」という単語が見つかります。

md5のハッシュのテーブルを引き継いだら、直接は変換できません。代わりに包みましょう。password_hash($oldMd5)を保存してpassword_verify(md5($input), $stored)で検証し、各ユーザーが次にログインしたときに普通のハッシュに置き換えます。

Argon2idと72バイトの制限

PASSWORD_ARGON2IDはハッシュごとにより多くのメモリを使うので、GPUによる解析にずっとコストがかかるようになります。PHPがlibargon2付きでビルドされていれば使え（ほとんどのLinuxのパッケージはそうです）、defined('PASSWORD_ARGON2ID')で確認できます。

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

最後の行はbool(true)と出力します。bcryptは72バイト目より後ろをすべて無視するので、2つの違うパスワードが一致してしまうのです。実際のパスワードがそこまで届くことはまれですが、日本語などのマルチバイト文字のパスフレーズは約24文字で72バイトに達します。とても長いパスワードを許すなら、そのような制限のないArgon2idを使いましょう。password_verify()はどちらのアルゴリズムでも動くので、上のようにpassword_needs_rehash()で切り替えられます。