Дорога в совершенство

Организовать хранение паролей можно тремя способами:
1) «Здравствуй хакер».
2) «Сначала разгадай».
3) «А вот фиг!»

Чем они отличаются?

Первый способ:
Пароль хранится в базе данных в открытом виде. Любой проникший в базу данных получает ВСЕ пароли всех пользователей. Пользователи любят использовать один и тот же пароль для многих своих аккаунтов на разных сайтов. Фактически таким способом злоумышленник получает доступ ко всем остальным аккаунтам.

Второй способ:
Пароли в базе данных хранятся зашифрованными, точнее хранятся т.н. «хеши паролей». При хешировании всегда получается строка в определенное число байт. Т.е. если мы используем алгоритм хеширования md5 и исходный пароль больше 32 двух символов, то восстановить пароль из хеша будет не реально.

Но кто использует пароли больше 32 символов?

Третий способ, о котором мы сейчас и поговорим:
Как сделать так чтобы строка перед хешированием была длиннее 32 символов, и при этом можно было проверить, что она действительно соответствует паролю? И чтобы при этом хакер перехватив строку данных не получил всех данных?
Надо использовать строку которую всегда знает ТОЛЬКО сервер (в дальнейшем будем называть её «соль»). Которая никогда не передаётся на клиент. Зачем? Сейчас поймёте.
Суть в том, что мы шифруем md5 соль и добавляем в конец её наш пароль, в результате чего получаем строку длиннее 32 символов и еще раз хешируем её.
Даже если хакер отловит эту строку в процессе передачи он все равно никогда не сможет восстановить пароль т.к. он не знает части исходной строки, и не хеш не содержит всех данных.

Как это работает?

При регистрации пользователя генерируем случайную строку, например так:

Далее кладём в базу данных такую строку: md5(md5($salt).$password). И конечно же саму соль.

При авторизации же мы сначала получаем нашу соль по имени пользователя, а потом проверяем совпадают ли хеш пароля только что введенного пользователем и соли лежащей в базе, с уже готовым хешем.
Ошибки быть не может :)

Последние новости