Seguinte pessoal, tenho que fazer um sistema de cadastro e login de usuários, mas queria aumentar a segurança desse sistema utilizando salts nas senhas, alguém poderia me mostrar um exemplo simples sobre isso?
1 Resposta
Passado
Recomendo que utilize a solução que o Wordpress e o Drupal usam. Eu acho que se eles usam, então deve ser seguro o suficiente. Você não acha?
Chama-se Portable PHP password hashing framework.
O hash que essa solução gera já contém o salt embutido - você não precisa se preocupar com isso, mas recebe o benefício. Ou seja, você estará efetivamente usando salts e hashs, aumentando a segurança, e de uma maneira extremamente simples - mais simples do que eu acho que você queria ver numa resposta. Se quiser entender mais sobre os bastidores da coisa, então fique à vontade para pesquisar mais. Eu só vou mostrar como Wordpress e Drupal fazem.
Para gerar o hash:
require( 'PasswordHash.php' );
$hasher = new PasswordHash();
$passHash = $hasher->HashPassword( 'senha' );
Pronto! Na variável $passHash
você tem agora a senha "salteada" e "hasheada", prontinha para ir pro banco de dados.
Veja que interessante: cada vez que você chama a função HashPassword
para a mesma senha, ela vai te retornar um hash diferente. Isso acontece inclusive porque o salt está armazenado junto o próprio hash na string que é retornada.
Portanto, você não tem como verificar depois se o usuário está informando a senha certa fazendo algo assim, como usualmente faria com um hash fraco como o MD5:
if ( $hasher->HashPassword( 'senha' ) == $passHash_obtido_do_BD )
Porque isso não funciona? Não funciona porque, como foi dito, cada vez o hash gerado é diferente!
Mas a solução para verificar se a senha informada é correta é igualmente simples e fácil:
require( 'PasswordHash.php' );
$hasher = new PasswordHash();
if ( $hasher->CheckPassword( 'senha', $passHash_obtido_do_BD ) )
E então? Para que complicar mais se você pode oferecer uma solução tão boa quanto a que o Wordpress usa, nos seus projetos e para os seus clientes?
Confira você mesmo a função wp_check_password do Wordpress, para não dizer que estou inventando:
Presente
CONSIDERAÇÃO IMPORTANTE: um sistema de autenticação e autorização, pensando desde a interface, acesso a banco de dados, login e logout, cookies, vulnerabilidades, et cetera, envolvem mais um monte de questões não abordadas aqui. Você, felizmente, fez uma questão bem objetiva sobre apenas um ponto específico: como "temperar" a senha com salts e hashear a mesma? Afinal, não queremos armazená-la em plain text no banco de dados; queremos efetivamente dificultar tanto que as senhas sejam "quebradas" e descobertas; queremos deixar tão difícil que nem nós mesmos tenhamos como saber as senhas. A solução acima focaliza isso, e somente isso, trazendo uma ferramenta prática, que você pode usar já, obter os benefícios, e da maneira mais simples possível. Aí você pode prosseguir satisfeito pro próximo item do quebra-cabeças.
Futuro
Todo meu bla-bla-blá acima vai logo virar coisa do passado, já que a partir do PHP versão 5.5 teremos a mesma funcionalidade já embutida.
A função password_hash
equivale à HashPassword
, e a função password_verify
equivale à CheckPassword
, exatamente como explicadas acima. Confira a documentação: http://php.net/manual/pt_BR/ref.password.php
Eis os exemplos atualizados para o futuro:
// Obtendo o hash:
$passHash = password_hash( 'senha' );
// Verificando a senha:
if ( password_verify( 'senha', $passHash_obtido_do_BD ) )