Alternativa a crypt()

Question

Estoy trabajando en un script y necesito guardar las contraseñas. Para fines de desarrollo, he estado usando la función crypt() porque era fácil y estaba disponible. Ahora que ya casi terminé, quiero reemplazarlo por algo un poco mejor y más consistente.

Algunas de las preocupaciones que tengo son:

• no todos los algoritmos son compatibles con todos los sistemas
• veces la sal se agrega como prefijo al resultado (parece como un problema de seguridad)

Quiero algo que funcione con PHP 4.3+.

¿Hay algo disponible, o debería seguir con crypt()? Pensé en usar md5(md5($password).$salt). Gracias por la visión.

Answer 1

No hay nada malo con crypt

Si el servidor no lo soporta, utilice otro servidor.

Debe NUNCA uso MD5 para las contraseñas hashing (o incluso SHA1 para el caso)

uso ya sea bcrypt (el método de pez globo de crypt) o PBKDF2

No es una implementación de PBKDF2 aquí: Encrypting Passwords with PHP for Storage Using the RSA PBKDF2 Standard

Más información sobre por qué y cómo aquí:

• Which password hashing method should I use?
• Do any security experts recommend bcrypt for password storage?

Answer 2

En primer lugar: agregar el prefijo a la sal no es un problema de seguridad. Tener una sal por contraseña es una gran ventaja, y está perfectamente bien que se almacene al lado del pw.

Ahora: siempre que no transporte hashes de contraseñas de un sistema a otro, y este último no sea compatible con el algoritmo predeterminado del primero, nada malo pasará por definición. Desde PHP 5.3 hay algoritmos incorporados en PHP como Blowfish, que están garantizados para estar disponibles.