[PHP] Sicheres Passwort-Hashing

Hier eine Bibliothek mit der ihr ganz leicht den bcrypt Algorithmus benutzen könnt, um eure Passwörter zu hashen (Diese Funktionen sind ab PHP 5.5 in der Standardbibliothek).

1. Datei runterladen (Strg+S).
2. PHP-Datei inkludieren:

require 'password.php';

3. Passwörter hashen:

$hash = password_hash($password, PASSWORD_BCRYPT);

bcrypt ist derzeit der stärkste Algorithmus der PHP zur Verfügung steht.
WARNUNG: Der erzeugte ist 60 Zeichen lang, passt also auf dass eure Datenbank den Hash nicht abhackt.

Zitat von ApeeX

Md5 tuts doch auch.

Eben nicht. Die meisten MD5 Hashes hat man innerhalb von Sekunden geknackt.
Bcrypt beansprucht mehr Rechenzeit, somit sind Bruteforce, Dictionary-Attacks etc. kaum noch praktisch.

Zitat von Etnies

Wenn man keine Sicherheitslücken hat, dann braucht man sowas nicht.

Für alle die das verwenden wollen:
Ihr müsst in der Datenbank unter der users Tabelle die Länge für das Password Varchar ändern. 70 sollten denke ich optimal sein.

Ja richtig, wenn man keine Lücken hat (was man natürlich weiß), dann braucht man die Passwörter nicht hashen.
Am besten speichert man die in Klartext ab, spart ja Rechenzeit, so machen das alle großen Websites!

Optimale Länge für das Passwortspalte ist 60, größer können die Hashes nicht werden.

Zitat von Etnies

Ich meinte eigentlich, dass es reicht, mit MD5 zu hashen, wenn man alle bekannten Lücken entfernt hat.
Außerdem ist das eine allgemein gute Sicherheitsmethode, spricht ja nichts dagegen.

Wie willst du den wissen, dass keine Lücken existieren? Wenn man das einfach wissen könnte, dann müsste sich ja keiner mehr Sorgen machen gehackt zu werden.
Außerdem ist MD5 unsicher, SEHR unsicher. Bitte, bitte kein MD5 benutzen, falls ihr verhindern wollt, dass Passwörter geknackt werden.

Zitat von Robi

einfach SHA1 benutzen? Oder RSA / AES? xd

SHA1 ist unsicherer als bcrypt.
RSA und AES sind keine Hashingfunktionen.

Zitat von xSynTronix

Welche core.php datei?
Und was sollte man danach machen?

Das in ein schon fertiges CMS einzufügen ist eigentlich nicht der Sinn davon, denn bei dir sind die Passwörter ja schon mit einem anderen Algorithmus gehasht.
Es ist eher für Leute gedacht, die ein neues CMS oder ähnliches machen.