2

Estou tentando utilizar o comando password_verify porém ele não está me retornando o correto por exemplo:

$senha = "151201";

$hash = "dc123878c3ceb4b521c7531ecaa93b53";

if(password_verify($senha, $hash)){
    $teste = "Senha correta";
    echo $teste;
} else {
    $teste = "Senha incorreta";
    echo $teste;
}

A variável $hashfoi atribuída a String: dc123878c3ceb4b521c7531ecaa93b53 que foi gerada no site: http://www.md5online.org/md5-encrypt.html apesar da string 151201 ser dc123878c3ceb4b521c7531ecaa93b53 o comando continua me retornando FALSE

1

2 Respostas 2

3

O password_hash suporta BCrypt e Argon2i (no PHP 7.2). O MD5 nunca foi designado para senhas. Além disso desde 1994 ele já poderia ser considerado quebrado, hoje em dia ele não é recomendado para nada, mas essa não é a questão aqui.


Para que você use o password_verify é preferível que utilize uma senha compatível com o BCrypt (ou com o Argon2i no caso do PHP 7.2), você pode usar:

  • Para BCrypt:

    password_hash($senha, PASSWORD_BCRYPT);
    
  • Para Argon2i:

    password_hash($senha, PASSWORD_ARGON2I);
    

/!\ Cuidado:

O password_hash não remove os nulos e vai parar neles, portanto isso é quebrado:

// Não utilize o código abaixo em produção, existem erros intencionais:

$_POST['senha'] = "a\x00bc";
// Nota: Existe um nulo após o `a`, isso pode ser enviado usando `%00` pelo usuário!

$hash =  password_hash($_POST['senha'], PASSWORD_BCRYPT);

if(strlen($_POST['senha']) >= 3 && strlen($_POST['senha']) < 70){
    if( password_verify('a', $hash)){
        echo 'Igual';
    }
}

Teste isto.

Resultado: Igual, sim o a é igual ao a\x00bc. >:D


Se não quiser usar o BCrypt/Agon2i nem tudo está perdido, você pode usar o PBKDF2, por exemplo:

$senha = '12345678';
$salt = random_bytes(16);
$iteracoes = 150000;

$hash = hash_pbkdf2('sha3-512', $senha, $salt, $iteracoes);

Para verificar basta fazer hash_equals($senha, $hash). Nunca faça $senha === $hash e muito menos faça $senha == $hash, obviamente. Ele não é considerado melhor que o BCrypt e nem muito menos melhor que o Argon2i, alguns dizem que é o "pior dos métodos recomendados", sendo usado "quando não tem nada melhor".

3

O hash utilizado pela função password_verify não é apenas o MD5 da senha. Na verdade, a função é compatível com a função crypt, ou seja, o hash a ser utilizado deve ser este:

define("SALT", uniqid()); // Exemplo!

$senha = "151201";

$hash = crypt($senha, SALT);

if (password_verify($senha, $hash)) {
    $teste = "Senha correta";
    echo $teste;
} else {
    $teste = "Senha incorreta";
    echo $teste;
}

Veja funcionando no Ideone.

Ou você pode utilizar a função password_hash para gerar o hash:

$senha = "151201";

$hash = password_hash($senha, PASSWORD_DEFAULT);

if (password_verify($senha, $hash)) {
    $teste = "Senha correta";
    echo $teste;
} else {
    $teste = "Senha incorreta";
    echo $teste;
}

Veja funcionando no Ideone.

1
  • Eu acho que usando crypt o resultado é um DES e não um BCrypt. Tanto que nem está ajustando a dificuldade, e não resultada em $2$ que é o prefixo do BCrypt.
    – Inkeliz
    8/08/2017 às 23:52

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .