password_hash() i password_verify() w PHP: hasła

Przechowuj hasła przez password_hash($password, PASSWORD_DEFAULT), a logowanie sprawdzaj przez password_verify($password, $hash), które zwraca true albo false. Nigdy nie przechowuj samego hasła i nigdy nie używaj do niego md5() ani sha1().

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

Uruchom to dwa razy: hash za każdym razem jest inny, a obie wersje przechodzą weryfikację. To samo dotyczy każdego hasha na tej stronie, więc twój wynik nie będzie zgodny z niczyim innym.

Logowanie przez password_verify

Logowanie sprawdza wysłane hasło z hashem zapisanym przy tworzeniu konta. Ten blok „rejestruje” jednego użytkownika, a potem pokazuje formularz logowania; spróbuj właściwego hasła (hunter2), a potem złego.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

Komunikat błędu jest taki sam dla nieznanego e-maila i złego hasła. Powiedzenie, co było źle, zdradza atakującemu, które e-maile mają konta. Po udanym logowaniu prawdziwa strona zapisuje identyfikator użytkownika w sesji, jak pokazuje strona o sesjach.

Co jest w hashu

Hash bcrypt to jeden string zawierający wszystko, czego potrzebuje password_verify(): algorytm, koszt i sól, a po nich sam hash. password_get_info() odczytuje pierwsze części z powrotem.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

Ponieważ sól jest zapisana w hashu, potrzebujesz tylko jednej kolumny w bazie danych, a dwóch użytkowników z tym samym hasłem i tak dostaje różne hashe. Niech ta kolumna ma VARCHAR(255): bcrypt ma 60 znaków, ale PASSWORD_DEFAULT może zmienić się na algorytm z dłuższym wynikiem.

Wybór kosztu

Koszt określa, jak celowo wolne jest każde haszowanie, a każdy krok w górę podwaja pracę. PHP 8.3 używa dla bcrypt kosztu 10 (PHP 8.4 podniosło domyślną wartość do 12). Logowanie powinno zajmować mniej więcej od 100 do 300 ms haszowania; zmierz to na własnym serwerze:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

Liczby zależą od maszyny, ale każda linia powinna być mniej więcej dwa razy większa od poprzedniej. Wyższy koszt jest bezpieczniejszy wobec łamania i wolniejszy przy każdym logowaniu, więc wybierz najwyższy, na jaki stać twoją stronę logowania.

Aktualizacja starych hashy przez password_needs_rehash

Gdy podnosisz koszt albo PHP zmienia PASSWORD_DEFAULT, istniejące hashe nadal działają, a password_needs_rehash() mówi, które są nieaktualne. Jedyna chwila, w której masz czyste hasło, to logowanie, więc tam aktualizujesz:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

Prefiks $2y$10$ zmienia się na $2y$12$, a przy następnym logowaniu password_needs_rehash() zwraca false.

Nigdy nie używaj md5 ani sha1 do haseł

md5() i sha1() to szybkie hashe ogólnego przeznaczenia bez soli. Szybkość to przy hasłach dokładnie to, czego nie chcesz: atakujący z wykradzioną tabelą może sprawdzać miliardy prób na sekundę na GPU, a niesolony hash popularnego hasła jest już w publicznych tablicach wyszukiwania. Porównaj szybkość:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

W czasie, w którym password_hash() tworzy jeden hash, md5 tworzy ich setki tysięcy, więc każda próba łamiącego jest tyle razy tańsza. Wyszukaj 5f4dcc3b5aa765d61d8327deb882cf99, a od razu znajdziesz słowo „password”.

Jeśli odziedziczysz tabelę hashy md5, nie da się ich bezpośrednio przekonwertować. Zamiast tego je opakuj: zapisz password_hash($oldMd5) i weryfikuj przez password_verify(md5($input), $stored), a potem zastępuj każdy zwykłym hashem przy następnym logowaniu danego użytkownika.

Argon2id i limit 72 bajtów

PASSWORD_ARGON2ID zużywa więcej pamięci na hash, co czyni łamanie przez GPU dużo droższym. Jest dostępny, gdy PHP zbudowano z libargon2 (tak jest w większości pakietów dla Linuksa); sprawdź przez defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

Ostatnia linia wypisuje bool(true): dwa różne hasła pasują, bo bcrypt ignoruje wszystko po 72. bajcie. Prawdziwe hasła rzadko tyle osiągają, ale frazy po japońsku lub w innych pismach wielobajtowych dochodzą do 72 bajtów przy około 24 znakach (polskie litery z ogonkami też zajmują po 2 bajty). Jeśli pozwalasz na bardzo długie hasła, użyj Argon2id, który nie ma takiego limitu. password_verify() działa z oboma algorytmami, więc możesz przejść na inny przez password_needs_rehash(), jak wyżej.