2018年のパスワードハッシュ - Qiita

テクノロジーカテゴリーの変更を依頼記事元:

297 usersがブックマークコメント

規約違反を報告

2018年のパスワードハッシュ - Qiita

数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもは... 数年前であれば仕方なかったところですが、2018年の今となっては、パスワードハッシュの手動計算はもはや"悪"です。まずログイン認証と称してmd5とかsha1とか書いてあるソースはゴミなので投げ捨てましょう。 hashやcryptは上記に比べればずっとマシですが、使い方によっては簡単に脆弱になりえます。あと『パスワードを暗号化する』って表現してるところも見なくていいです。 PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。というか、これ以外を使ってはいけません。以下はフレームワークを使わずに実装する際の例示です。フレームワークを使っている場合は当然その流儀に従っておきましょう。ハッシュの実装データベースユーザ情報を保存するテーブルを作成します。パスワードカラムの文字数は、システム上のパスワ

記事へのコメント29件

注目コメント
新着コメント

rryu 2018年のと言いつつPHPのpassword_hash()関数の話。

2018/02/11 リンク

deep_one いや、ハッシュ化の方式は自分で決定しろ。DBに記録するような奴ならあとで困るぞ。サーバーをうつした時とか。（といいつつ、自分も何が選択されてるか確認してない気がする。）

2020/03/18 リンク

itochan 「パスワードの定期的変更」ならぬ「パスワードハッシュの定期的変更」は必要か？　＞古いユーザも新しいハッシュアルゴリズムに変更したいという場合、password_needs_rehashで比較的簡単に対応可能です。

2019/07/06 リンク

takaesu パスワードのハッシュ関連のいい内容

2019/02/21 リンク

ywv コメント欄もセットで読もう

PHP
security

2019/01/29 リンク

kibitaki ソーシャルログインも基本扱いたくない。あっちの都合でこっちが落ちたりする。

2019/01/09 リンク

iww php5.5以降ならとても安全に実装できるという話。うらやましい

wata88 7.2 のやつ知らんかったので見とこうっと

security
php

2018/02/28 リンク

bufferings へー。便利なんだなー。

2018/02/17 リンク

kouhii 利用する側としてはソーシャルログインってなんか気持ち悪いのでメアド渡してる。お手数かけます

2018/02/13 リンク

braitom “ソーシャルログインにしとけ。どうしても必要ならフレームワーク使え。”

2018/02/12 リンク

Wacky “PHPには、ハッシュに関わる諸々の落とし穴を一発で解消してくれるpassword_hashという超絶便利関数があるので、これを使います。”

lefb766 ハッシュにメタデータとソルトがくっ付いて返ってくるの筋いいな。

Wafer 1986年のマリリン感

kitaj 「結論ソーシャルログインにしとけ。」

Palantir ここ場合Saltは何を元に生成してるんだろ

HHR password_hash()

JULY そもそも、ユーザの認証情報を LDAP や Kerberos に持たせた方が...

セキュリティ

fashi 「SELECT * FROM users WHERE name = :name AND hash = :hashなどと書くことはできません」この実装になってるフレームワークをまずなんとかしないとな… / 「パスワード欄に"5f4dc..."と入っていれば」これは何の欄なんだろ…漏れた場合？