password_hash() và password_verify() trong PHP

Lưu mật khẩu bằng password_hash($password, PASSWORD_DEFAULT) và kiểm tra khi đăng nhập bằng password_verify($password, $hash), hàm này trả về true hoặc false. Không bao giờ lưu chính mật khẩu, và không bao giờ dùng md5() hay sha1() cho nó.

<?php
$hash = password_hash('correct horse battery staple', PASSWORD_DEFAULT);
echo $hash, "\n";

var_dump(password_verify('correct horse battery staple', $hash));
var_dump(password_verify('Correct horse battery staple', $hash));

Chạy hai lần: mỗi lần hash đều khác, và cả hai phiên bản đều kiểm tra đúng. Điều này đúng với mọi hash trên trang này, nên đầu ra của bạn sẽ không giống của ai khác.

Đăng nhập với password_verify

Khi đăng nhập, mật khẩu được gửi lên sẽ được kiểm tra với hash đã lưu lúc tạo tài khoản. Khối code này "đăng ký" một người dùng rồi hiện một form đăng nhập; thử mật khẩu đúng (hunter2), rồi thử một mật khẩu sai.

<?php
// The users table: one row, hashed when the account was created
$users = ['ada@example.com' => password_hash('hunter2', PASSWORD_DEFAULT)];

$email = trim((string) ($_POST['email'] ?? 'ada@example.com'));
$message = '';

if (($_SERVER['REQUEST_METHOD'] ?? 'GET') === 'POST') {
    $hash = $users[$email] ?? null;
    if ($hash !== null && password_verify((string) ($_POST['password'] ?? ''), $hash)) {
        $message = 'Welcome back, ' . htmlspecialchars($email) . '.';
    } else {
        $message = 'Wrong email or password.';
    }
}
?>
<form method="post">
  <input name="email" value="<?= htmlspecialchars($email) ?>">
  <input name="password" type="password" placeholder="Password">
  <button>Log in</button>
</form>
<p><?= $message ?></p>

Thông báo lỗi giống nhau cho email không tồn tại và mật khẩu sai. Nói rõ cái nào sai sẽ cho kẻ tấn công biết email nào đã có tài khoản. Sau khi đăng nhập thành công, một trang web thật sẽ lưu id người dùng vào session, như trên trang session.

Bên trong hash có gì

Một hash bcrypt là một chuỗi chứa mọi thứ password_verify() cần: thuật toán, cost và salt, theo sau là chính phần hash. password_get_info() đọc lại các phần đầu đó.

<?php
$hash = password_hash('secret', PASSWORD_DEFAULT);
echo $hash, "\n";
echo strlen($hash), " characters\n\n";

[, $algo, $cost, $rest] = explode('$', $hash);
echo "algorithm: $algo (bcrypt)\n";
echo "cost:      $cost\n";
echo 'salt:      ', substr($rest, 0, 22), "\n";
echo 'hash:      ', substr($rest, 22), "\n\n";

print_r(password_get_info($hash));

Vì salt được lưu trong hash, bạn chỉ cần một cột trong cơ sở dữ liệu, và hai người dùng có cùng mật khẩu vẫn có hash khác nhau. Hãy đặt cột đó là VARCHAR(255): bcrypt dài 60 ký tự, nhưng PASSWORD_DEFAULT được phép đổi sang một thuật toán có đầu ra dài hơn.

Chọn cost

Cost là mức độ cố ý làm chậm mỗi lần băm, và mỗi bậc tăng lên làm khối lượng công việc gấp đôi. PHP 8.3 dùng cost 10 cho bcrypt (PHP 8.4 đã nâng mặc định lên 12). Một lần đăng nhập nên mất khoảng từ 100 đến 300 ms để băm; hãy đo trên máy chủ của chính bạn:

<?php
foreach ([10, 11, 12] as $cost) {
    $start = hrtime(true);
    password_hash('secret', PASSWORD_BCRYPT, ['cost' => $cost]);
    printf("cost %d: %.0f ms\n", $cost, (hrtime(true) - $start) / 1e6);
}

Các con số phụ thuộc vào máy, nhưng mỗi dòng nên gấp khoảng hai lần dòng trước. Cost cao hơn thì an toàn hơn trước việc bẻ khóa nhưng chậm hơn với mỗi lần đăng nhập, nên hãy chọn cost cao nhất mà trang đăng nhập của bạn chịu được.

Nâng cấp hash cũ với password_needs_rehash

Khi bạn tăng cost hoặc PHP thay đổi PASSWORD_DEFAULT, các hash hiện có vẫn hoạt động, và password_needs_rehash() cho bạn biết hash nào đã lỗi thời. Thời điểm duy nhất bạn có mật khẩu gốc là lúc đăng nhập, nên đó là chỗ để nâng cấp:

<?php
$options = ['cost' => 12];

// A hash created years ago with cost 10
$stored = password_hash('hunter2', PASSWORD_DEFAULT, ['cost' => 10]);
echo 'stored: ', substr($stored, 0, 7), "...\n";

$input = 'hunter2';
if (password_verify($input, $stored)) {
    if (password_needs_rehash($stored, PASSWORD_DEFAULT, $options)) {
        $stored = password_hash($input, PASSWORD_DEFAULT, $options);
        echo "Rehashed and saved: ", substr($stored, 0, 7), "...\n";
    }
    echo "Logged in.\n";
}

var_dump(password_needs_rehash($stored, PASSWORD_DEFAULT, $options));

Tiền tố $2y$10$ thành $2y$12$, và ở lần đăng nhập tiếp theo password_needs_rehash() trả về false.

Không bao giờ dùng md5 hay sha1 cho mật khẩu

md5() và sha1() là các hàm băm đa dụng, chạy nhanh và không có salt. Nhanh lại chính là điều sai với mật khẩu: kẻ tấn công có trong tay một bảng bị rò rỉ có thể thử hàng tỷ lần đoán mỗi giây trên GPU, và hash không có salt của một mật khẩu phổ biến đã nằm sẵn trong các bảng tra cứu công khai. So sánh tốc độ:

<?php
echo md5('password'), "\n";       // the same on every server, forever

$start = hrtime(true);
for ($i = 0; $i < 100000; $i++) {
    md5("password$i");
}
printf("100,000 md5 hashes: %.0f ms\n", (hrtime(true) - $start) / 1e6);

$start = hrtime(true);
password_hash('password', PASSWORD_DEFAULT);
printf("1 password_hash:    %.0f ms\n", (hrtime(true) - $start) / 1e6);

Trong thời gian password_hash() tạo một hash, md5 tạo được hàng trăm nghìn, nên mỗi lần đoán của kẻ bẻ khóa rẻ hơn từng ấy lần. Tìm kiếm 5f4dcc3b5aa765d61d8327deb882cf99 và bạn sẽ thấy ngay chữ "password". Một công cụ tạo hash luôn biến "password" thành đúng chuỗi md5 đó.

Nếu bạn tiếp quản một bảng toàn hash md5, bạn không thể chuyển đổi chúng trực tiếp. Thay vào đó hãy bọc chúng lại: lưu password_hash($oldMd5) và kiểm tra bằng password_verify(md5($input), $stored), rồi thay từng hash bằng một hash bình thường vào lần đăng nhập tiếp theo của người dùng đó.

Argon2id và giới hạn 72 byte

PASSWORD_ARGON2ID dùng nhiều bộ nhớ hơn cho mỗi lần băm, khiến việc bẻ khóa bằng GPU tốn kém hơn nhiều. Nó có sẵn khi PHP được build cùng libargon2 (phần lớn package trên Linux là vậy); kiểm tra bằng defined('PASSWORD_ARGON2ID').

<?php
if (defined('PASSWORD_ARGON2ID')) {
    $hash = password_hash('secret', PASSWORD_ARGON2ID);
    echo $hash, "\n";
    var_dump(password_verify('secret', $hash));
}

// bcrypt only looks at the first 72 bytes of the password
$a = str_repeat('a', 72) . 'X';
$b = str_repeat('a', 72) . 'Y';
var_dump(password_verify($b, password_hash($a, PASSWORD_BCRYPT)));

Dòng cuối in ra bool(true): hai mật khẩu khác nhau lại khớp vì bcrypt bỏ qua mọi thứ sau byte thứ 72. Mật khẩu thật hiếm khi dài đến vậy, nhưng các cụm mật khẩu bằng tiếng Nhật hay các hệ chữ nhiều byte khác chạm mốc 72 byte chỉ với khoảng 24 ký tự. Nếu bạn cho phép mật khẩu rất dài, hãy dùng Argon2id, thuật toán không có giới hạn này. password_verify() làm việc với cả hai thuật toán, nên bạn có thể chuyển đổi bằng password_needs_rehash() như trên.