bcryptの72文字制限をSHA-512ハッシュで回避する方式の注意点

宅ふぁいる便から平文パスワードが漏洩した件を受けて、あらためてパスワードの安全な保存方法が関心を集めています。現在のパスワード保存のベストプラクティスは、パスワード保存に特化したハッシュ関数（ソルトやストレッチングも用いる）であるbcryptやArgon2などを用いることです。PHPの場合は、PHP5.5以降で使用できるpassword_hash関数が非常に便利ですし、他の言語やアプリケーションフレームワークでも、それぞれ用意されているパスワード保護の機能を使うことはパスワード保護の第一選択肢となります。 なかでもbcryptは、PHPのpassword_hash関数のデフォルトアルゴリズムである他、他の言語でも安全なハッシュ保存機能として広く利用されていますが、パスワードが最大72文字で切り詰められるという実装上の特性があり、その点が気になる人もいるようです（この制限はDoS脆弱性回避が

[t-wada]

"SHA-512ハッシュの先頭バイトがNULLとなる確率は1/256ですから、上記方式で実装したログインプログラムでは、任意ユーザーが1/256の確率でパスワードAaaaaa3@で不正ログインできることになります。とんでもない大穴です"

[hylom]

現実的な話として72文字以上のパスワードを使いたい、かつ切り詰めたくないという需要はどこにあるのだろう

[otchy210]

一般論として "おれおれ" が標準を上回る事なんてまず無いんだよな。

[uskey]

“このため、SHA-512ハッシュ（バイナリ）中にNULLバイトがあると、そこから先を「切り詰め」してしまうという問題があります。”頭の中でIKKOが「ヌル文字〜〜！！！」って言っているのが聞こえた。

[moccos_info]

くっ…

[rryu]

マニュアルにバイナリセーフじゃないと書いてないのは罠すぎる…

[kirte]

こういう言われれば分かる問題も独自実装だと一度気付かず通しちゃったらそのまま残りがちだし、広く使われてレビューに耐えたライブラリがやっぱり無難だな

[JULY]

SHA-512 をテキストエンコードしちゃ駄目だろう、って思ったら、bcrypt がバイナリーセーフじゃないので詰み、という展開。

[dekaino]

うわー SHA512ハッシュをバイナリのままbcryptに食わせてるのか。せめてbase64! 社内の狭い範囲でしか設計レビューしてないんだろうなぁ。

[benridane111]

え、切り詰め後のハッシュ化とハッシュ化後の切り詰めは違う。そんなにハッシュ値がぶつかると思ってるのかな。

[naga_sawa]

バイナリセーフでないbcryptにバイナリ渡すとNULL文字扱いされて切り詰められる場合があるという罠

[jsstudy]

PHPのbcrypt実装はバイナリセーフでない → SHA-512ハッシュ（バイナリ）中にNULLバイトがあると、そこから先を「切り詰め」してしまう。先頭がNULLバイトになる場合、crypt関数にはゼロ文字のパスワードが指定される

[deep_one]

「SHA-512ハッシュは（略）128バイト長となり、bcryptにより72文字に切り詰めされます」というのを見た時点で「そりゃ駄目だ」と思った。／nullが入るとやばいらしい。／72文字は「パスフレーズ」だと不安が残る文字数。

[koyancya]

これは......

[raitu]

“SHA-512とbcryptを二重に適用するという方法は重大な落とし穴がある”

[s025236]

マルチバイト文字を許容すると72文字じゃなくて72byteかな？cryptもバイナリセーフではないので、かつて8byteだった制限が72byteに増えただけって認識。それ以上保存したければ72byte毎に区切って連結するか…

[masutaka26]

"SHA-512ハッシュの先頭バイトがNULLとなる確率は1/256ですから、上記方式で実装したログインプログラムでは、任意ユーザーが1/256の確率でパスワード「Aaaaaa3@」で不正ログインできることになります"

[maple_magician]

“上記方式で実装したログインプログラムでは、任意ユーザーが1/256の確率でパスワード「Aaaaaa3@」で不正ログインできることになります。これはとんでもない大穴ですよね”──ガバガバすぎる。大丈夫なのかこれ。

[i_luv_kneesox]

やはり標準で利用できるものが一番良いのか。7.2以降はArgon2の方が良いのね。

[lrnsecdef]

教訓:パスワードハッシュの独自実装は危険

[hasegawatomoki]

すごく良い。さすがだ…！

[tarchan]

＞素直にbcryptのみを使うことを推奨します。

[foobarbazwiz]

間違えた使い方が穴になるのはあるあるだけど、72文字制限は気にならないなあ

[ot2sy39]

まあ英語で自然文をパスワードにしたら溢れるかも。140文字でキツイと思った記憶が何度もあるし。

[marmot1123]

72文字以上にする理由がないよなあ。

[jaguarsan]

参照記事見に行ったらバグの対策がバリデーションになってて、さすがバリデーションおじさんだと唸らされた

[lets_skeptic]

歴史的経緯としてはパスワード8文字縛りなどへの反発として長いパスワード（パスフレーズ）を許容するというスタンスが出てきたと思う。その視点からは72って数字がとても中途半端に見えると…現実的には十分でも。

[side_tana]

コワコワ〜〜

[anoncom]

sha512は64バイトだけど、文字列にすると大体16進数だから128バイトになるのでバイナリで使うのが良いけどbcryptはバイナリセーフじゃないのでNULLバイトが早い段階で来るパターンだとNULL以降切り詰められてしまい脆弱

[wdr_s]

素人考えで下手に自作しないほうがよいものの一つ

[kid37]

めも。読んだらそりゃそうだとしか思わないけど、コピペの塊サイトも多いんだろうしなぁ。

[masaru_b_cl]

“パスワード保存機能は独自実装せずに、安全なライブラリやフレームワークの機能を用いることを推奨します。” これに集約される

[you21979]

例えばPHPをやめるとか。暗号系はバイナリと親和性高い言語使わないときっついしOSの関数そのまま使うとかもWEBで使うにはしんどい。

[uunfo]

72文字もあれば十分では？／独自実装が広まったのは元々PHPのcrypt（というかシステムのcrypt）がひどかったからでそれに触れないのはずるいと思う