保存電子郵件密碼？ - 這是安全的嗎？

Question

我必須將用戶電子郵件密碼保存在我的系統（php + mysql）中。

我這樣做，現在這樣說： alt text http://codecookie.net/showcase/cred_save.png

這是安全的？何時不是什麼更好的方式來做到這一點？

Answer 1

聽起來不錯:)因爲你不存儲實際的密碼，但鹽漬散列這種方法應該是安全的。

Answer 2

鹽漬哈希是處理「存儲」密碼的更好方法之一（你並不是真的把它存儲起來）。請注意，密碼是不可恢復的，所以你的應用程序應該通過「重置密碼」功能來滿足這個要求。

Answer 3

我推薦使用hmac和一個隨機的，長生成的鹽。鹽幫助使用像「a」和hmac這樣的密碼的用戶防止長度擴展攻擊。

Answer 4

只存儲哈希醃製密碼。在我看來，這基本上是唯一真正安全的方式。加密密碼可以被解密，哈希醃製密碼需要被強制使用。

function salt_password($password) 
{ 
    $salt_1 = '7a@#!P^@29g'; 
    $salt_2 = 'mw3*@~2%21mD'; 
    //whatever random nonesense you can come up with 

    return sha1($salt_1.$password.$salt_2); 
} 

function store_password($user,$password) 
{ 
$password = salt_password($password); 

//insert username and password in whatever table; 
} 

function login($user,$password) 
{ 
//select username and password info from db 

if(salt_password($password) == $selected_password_from_db)) 
{ 
    return true; 
} 
else 
{ 
    return false 
} 
}