Você não armazena senhas no banco de dados, ao contrário disso você armazena o hash delas, e usa isso como comparação na hora que tiver que fazer um login.
MD5
e SHA1
são de mão única, você não consegue quebrar, porém existe as tabelas prontas que possuem uma infinidade de MD5
e seus significados, assim como SHA1
, eu diria que SHA1
é um pouco mais segura por ser pouca coisa mais lenta.
Para dificultar uma senha fraca ser exposta caso seu banco de dados seja vazado, utilize algum salt.
[salt]+[hash-da-senha]
Salt: String aleatória gerada automaticamente e é utilizada para gerar o resultado do hash de sua senha, costuma ser gravada no banco junto ao hash gerado.
Exemplo de implementação
// Entrada do usuário
$input = 'minhasenha123';
// Gera o hash da senha do usuário
$hash = password_hash($input, PASSWORD_BCRYPT);
// Hash gerado (cada vez será único)
echo $hash;
// Deve ser armazenado no banco e usado para comparação.
Vamos supor que o código acima produziu o seguinte resultado:
$2y$10$OOCtogTSo0egjw1ZUHXndei8h/sZGNQh.iKBn9L2T4VbYvSGFEnP.
A cada vez que rodar é único, porém salvamos o hash no banco, e agora vamos usa-la para comparar o login.
// Entrada do usuário no login
$input = 'minhasenha123';
/**
* Código para pegar a hash do banco correspondente
* ao usuário que tentou fazer login
*
* Aqui para exemplo, vamos usar a string, mas em sua aplicação
* deve-se comparar qual usuário solicitou, se ele existe,
* trazer a hash da senha usuário para uma variável, e compara-la
* com o input do login
*/
$hash = '$2y$10$OOCtogTSo0egjw1ZUHXndei8h/sZGNQh.iKBn9L2T4VbYvSGFEnP.';
// Faz a verificação
if (password_verify($input, $hash))
{
echo 'Usuário logado';
}
else
{
echo 'Senha inválida';
}
Também recomendo você utilizar o PASSWORD_BCRYPT
que é mais lento e mais robusto (sim, mais lento, é essencial diminuir propositalmente o desempenho quando o assunto é criptografia, assim seu sistema fica menos vulnerável a ataques de força bruta).
Nota: A função password_hash
está disponível nas versões 5.5 ou superiores do PHP.
Essa é a implementação mais simples e possuí bastante segurança.