¿Codifica la contraseña antes de almacenarla en la base de datos?

Question

Tengo una contraseña que se transfiere desde mi aplicación de iPhone a la base de datos a través de un script php, user.php.

El pase $ variable se encuentra por lo siguiente:

$pass = str_replace("'", "", $_REQUEST['pass']); 

Como puedo cifrar este antes de que sea insertado en mi base de datos? He leído un poco sobre las diferentes técnicas, pero estoy buscando la mejor manera de manejar esto.

Gracias a todos.

Answer 1

Si no se preocupan por recuperar el valor de la contraseña real (desde el valor cifrado de base de datos), puede ejecutar un algoritmo de cifrado de una vía en él (como sha1: http://php.net/manual/en/function.sha1.php). Esta función devolverá una cadena de longitud específica (hash) que no se puede usar para encontrar la cadena original (teóricamente). Es posible que dos cadenas diferentes puedan crear el mismo hash (llamado colisión) pero esto no debería ser un problema con las contraseñas.
Ejemplo: $pass = sha1($_REQUEST['pass']);

Una cosa, para que sea un poco más seguro es añadir una sal con el hash y ejecutar la función hash de nuevo. Esto hace que sea más difícil generar un hash de contraseña maliciosamente ya que el valor de sal solo se maneja en el lado del servidor.
Ejemplo: $pass = sha1(sha1($_REQUEST['pass']).sha1("mySalt@$#(%"));

Answer 2

más básico: hash con MD5 o SHA1

$newpass = md5($_REQUEST['pass']); 

o

$newpass = sha1($_REQUEST['pass']); 

Recientemente he comenzado a almacenar el nombre de usuario hash y, por lo intentos de conexión son seguras utilizando sólo hash de datos para las comparaciones.

Puede "saltear" los hashes con datos adicionales, de modo que si se ponen en peligro, no se puede encontrar el valor (intente googlear palabras simples) ... es decir, use una cadena para modificar el hash estándar como md5("mySiteSalt!!" . $_REQUEST['pass']); o algo más avanzado.

Answer 3

Utilice la biblioteca crypt de php. Md5 no es encriptación, es hash.

Además, sal sus contraseñas. Why?

• This answer
• Another good answer

Answer 4

Uso crypt con un poco de sal. Tal como

$user = strip_tags(substr($_REQUEST['user'],0,32)); 
$plain_pw = strip_tags(substr($_REQUEST['pass'],0,32)); 

$password = crypt(md5($plain_pw),md5($user)); 

como en http://www.ibm.com/developerworks/opensource/library/os-php-encrypt/

Answer 5

Debe utilizar SHA1 para discutir sus contraseñas para su almacenamiento en la base de datos. Es el más simple, pero más eficaz manera de almacenar contraseñas:

$password = sha1($password); 

También es excepcionalmente seguro.Aunque la integridad de la misma está empezando a aumentar, es bastante fácil actualizar esta función a SHA-256 (que es increíblemente segura).

Answer 6

Para descubrir por qué md5, sha1 y sus amigos rápidos podrían no ser una buena idea, debería leer la publicación Enough With The Rainbow Tables: What You Need To Know About Secure Password Schemes de Thomas Ptacek. Lo esencial:

Por último, hemos aprendido que si queremos almacenar contraseñas de forma segura, tenemos tres opciones razonables : Esquema MD5 de PHK, Bcrypt esquema de Provos-Maziere, y SRP. Aprendimos que la opción correcta es Bcrypt.

Nota: es PHK, no php.

Answer 7

Primero, debe crear una sal de usuario aleatorio. Luego debe almacenar eso y el hash de contraseña en la base de datos.

$salt = md5(unique_id().mt_rand().microtime()); 
$pass = sha1($salt.$_REQUEST['pass']); 

y guarde los $ sal y $ pase en la base de datos. A continuación, cuando se van a iniciar sesión miras a su fila y comprobar el hash:

$user = query('SELECT * FROM `user` WHERE username = ?', array($_REQUEST['username'])); 

if($user) 
{ 
    // If the password they give maches 
    if($user->pass === sha1($user->salt. $_REQUEST['pass'])) 
    { 
     // login 
    } 
    else 
    { 
     // bad password 
    } 
} 
else 
{ 
    // user not found 
} 

Creación de una sal de usuario para cada cuenta asegura tablas de arco iris son inútiles y cualquier persona que rompe en su servidor tendría que fuerza bruta cada contraseña .