使用PBKDF2在MySQL數據庫中存儲密碼和鹽

我一直在使用pbkdf2讓我的用戶密碼真正安全。使用PBKDF2在MySQL數據庫中存儲密碼和鹽

密碼哈希進入數據庫罰款，但鹽不是。

看起來鹽包含異域字符，MySQL列不喜歡。

我'用戶'表中的所有列都是UTF8_unicode_ci。

這裏是我的密碼散列器：

$size = mcrypt_get_iv_size(MCRYPT_CAST_256, MCRYPT_MODE_CFB); 
$salt = mcrypt_create_iv($size, MCRYPT_DEV_RANDOM); 

$passHash = pbkdf2('SHA512', $pass, $salt, 8192, 256) ; 

include("dbconnect.php") ; 

$result = $dbh->prepare("INSERT INTO users (name, email, qq, password, salt)VALUES(?, ?, ?, ?, ?)") ; 
    $result->bindParam(1, $name, PDO::PARAM_STR) ; 
    $result->bindParam(2, $email, PDO::PARAM_STR) ; 
    $result->bindParam(3, $qq, PDO::PARAM_STR) ; 
    $result->bindParam(4, $passHash, PDO::PARAM_STR) ; 
    $result->bindParam(5, $salt, PDO::PARAM_STR) ; 
$result->execute() ;

而且PBKDF2：

/* 
* PBKDF2 key derivation function as defined by RSA's PKCS #5: https://www.ietf.org/rfc/rfc2898.txt 
* $algorithm - The hash algorithm to use. Recommended: SHA256 
* $password - The password. 
* $salt - A salt that is unique to the password. 
* $count - Iteration count. Higher is better, but slower. Recommended: At least 1000. 
* $key_length - The length of the derived key in bytes. 
* $raw_output - If true, the key is returned in raw binary format. Hex encoded otherwise. 
* Returns: A $key_length-byte key derived from the password and salt. 
* 
* Test vectors can be found here: https://www.ietf.org/rfc/rfc6070.txt 
* 
* This implementation of PBKDF2 was originally created by https://defuse.ca 
* With improvements by http://www.variations-of-shadow.com 
*/ 
function pbkdf2($algorithm, $password, $salt, $count, $key_length, $raw_output = false){ 
$algorithm = strtolower($algorithm); 
if(!in_array($algorithm, hash_algos(), true)) 
    die('PBKDF2 ERROR: Invalid hash algorithm.'); 
if($count <= 0 || $key_length <= 0) 
    die('PBKDF2 ERROR: Invalid parameters.'); 

$hash_length = strlen(hash($algorithm, "", true)); 
$block_count = ceil($key_length/$hash_length); 

$output = ""; 
for($i = 1; $i <= $block_count; $i++) { 
    // $i encoded as 4 bytes, big endian. 
    $last = $salt . pack("N", $i); 
    // first iteration 
    $last = $xorsum = hash_hmac($algorithm, $last, $password, true); 
    // perform the other $count - 1 iterations 
    for ($j = 1; $j < $count; $j++) { 
     $xorsum ^= ($last = hash_hmac($algorithm, $last, $password, true)); 
    } 
    $output .= $xorsum; 
} 

if($raw_output) 
    return substr($output, 0, $key_length); 
else 
    return bin2hex(substr($output, 0, $key_length)); 
}

而且，我剛纔注意到，它是屬於同一存儲完全不同的散列的口令。

我正在做這個對嗎？

來源

2012-07-11 imperium2335

正如註釋所示：「$ salt - 密碼唯一的鹽」。每個密碼都有不同的鹽，因此相同密碼的散列值將會不同。 – Neil 2016-02-01 10:56:35

對於這樣一個廣泛的問題，我很難給出確切的答案，'我是否正確地做了這件事？我可以說，在哈希之前對密碼進行醃製的整個過程是這樣的，因此得到的哈希將在用戶之間是唯一的。因此，爲相同的輸入獲取不同的輸出是件好事。查閱「字典攻擊」以獲取更多關於原因的信息。

至於你的代碼，這聽起來像你真正想知道的是爲什麼你的salt沒有被存儲到數據庫。調試步驟，我能想到的，沒有更具體的細節

$鹽可能是假的，mcrypt_create_iv返回的錯誤虛假的（不太可能的，因爲你上面提到的哈希輸出差異，但值得一試。
輸出字符您可以嘗試將數據庫列類型轉換爲varbinary，並在添加到您的準備之前使用字符串轉換爲二進制或十六進制解碼器。
嘗試嘗試使用不同字符編碼的列類型，並查看您的鹽的列類型可以進入UTF-8爲每個字符使用可變數量的字節，這使我在處理事物時感到不舒服絕對值。鹽和散列通常被認爲是固定的位字段，爲了方便起見，通常以十六進制格式表示。

如果您提供了服務器環境，php版本，mysql版本等以及一些未正確存儲的鹽樣品，我可能能夠縮小問題的範圍。

來源

2012-07-21 02:44:14

您應該將convert的結果存儲到base64 encoding之後才存儲到varchar列。 Base64編碼基本上是將字節數組轉換爲可顯示（因此可存儲SQL）字符的ASCII範圍內的某些字符。

來源

2015-03-11 14:23:38 Neil

使用PBKDF2在MySQL數據庫中存儲密碼和鹽

回答

相關問題