8

Seguinte pessoal, tenho que fazer um sistema de cadastro e login de usuários, mas queria aumentar a segurança desse sistema utilizando salts nas senhas, alguém poderia me mostrar um exemplo simples sobre isso?

2

1 Resposta 1

5

Passado

Recomendo que utilize a solução que o Wordpress e o Drupal usam. Eu acho que se eles usam, então deve ser seguro o suficiente. Você não acha?

Chama-se Portable PHP password hashing framework.

O hash que essa solução gera já contém o salt embutido - você não precisa se preocupar com isso, mas recebe o benefício. Ou seja, você estará efetivamente usando salts e hashs, aumentando a segurança, e de uma maneira extremamente simples - mais simples do que eu acho que você queria ver numa resposta. Se quiser entender mais sobre os bastidores da coisa, então fique à vontade para pesquisar mais. Eu só vou mostrar como Wordpress e Drupal fazem.

Para gerar o hash:

require( 'PasswordHash.php' );
$hasher = new PasswordHash();
$passHash = $hasher->HashPassword( 'senha' );

Pronto! Na variável $passHash você tem agora a senha "salteada" e "hasheada", prontinha para ir pro banco de dados.

Veja que interessante: cada vez que você chama a função HashPassword para a mesma senha, ela vai te retornar um hash diferente. Isso acontece inclusive porque o salt está armazenado junto o próprio hash na string que é retornada.

Portanto, você não tem como verificar depois se o usuário está informando a senha certa fazendo algo assim, como usualmente faria com um hash fraco como o MD5:

if ( $hasher->HashPassword( 'senha' ) == $passHash_obtido_do_BD )

Porque isso não funciona? Não funciona porque, como foi dito, cada vez o hash gerado é diferente!

Mas a solução para verificar se a senha informada é correta é igualmente simples e fácil:

require( 'PasswordHash.php' );
$hasher = new PasswordHash();
if ( $hasher->CheckPassword( 'senha', $passHash_obtido_do_BD ) )

E então? Para que complicar mais se você pode oferecer uma solução tão boa quanto a que o Wordpress usa, nos seus projetos e para os seus clientes?

Confira você mesmo a função wp_check_password do Wordpress, para não dizer que estou inventando:


Presente

CONSIDERAÇÃO IMPORTANTE: um sistema de autenticação e autorização, pensando desde a interface, acesso a banco de dados, login e logout, cookies, vulnerabilidades, et cetera, envolvem mais um monte de questões não abordadas aqui. Você, felizmente, fez uma questão bem objetiva sobre apenas um ponto específico: como "temperar" a senha com salts e hashear a mesma? Afinal, não queremos armazená-la em plain text no banco de dados; queremos efetivamente dificultar tanto que as senhas sejam "quebradas" e descobertas; queremos deixar tão difícil que nem nós mesmos tenhamos como saber as senhas. A solução acima focaliza isso, e somente isso, trazendo uma ferramenta prática, que você pode usar já, obter os benefícios, e da maneira mais simples possível. Aí você pode prosseguir satisfeito pro próximo item do quebra-cabeças.


Futuro

Todo meu bla-bla-blá acima vai logo virar coisa do passado, já que a partir do PHP versão 5.5 teremos a mesma funcionalidade já embutida.

A função password_hash equivale à HashPassword, e a função password_verify equivale à CheckPassword, exatamente como explicadas acima. Confira a documentação: http://php.net/manual/pt_BR/ref.password.php

Eis os exemplos atualizados para o futuro:

// Obtendo o hash:
$passHash = password_hash( 'senha' );

// Verificando a senha:
if ( password_verify( 'senha', $passHash_obtido_do_BD ) )

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .