Как зашифровать пароль как в laravel, но без laravel?

Question

[Сергей Васильев]

Здравствуйте, у меня есть база данных основанная на Laravel, пароли, сессии, все зашифровано через него. Я нашел файл, который шифрует пароли, там используется метод шифрования AES-256-CBC для которого нужен ключ длиной 32 символа, но в конфиге laravel есть только ключ:

base64:d2Z0DhjLxL24LyiQ7iJEae4YVBuufKy8T3QdEsma1DM=

Я пробовал декодировать его через base64, ничего путного не получилось, ключа длиной 32 символа никак не получается.
(Вот сам файл), который декодирует пароли, в нем тоже нет особо никаких действий с ключом, просто проверяется на длину в 32 символа и каким-то образом получается true.

Comments

[Fedor Vlasenko]

Хранятся не пароли, а их хеши
Хеши не декодируется.
Когда пользователь идентифицируется с помощью пароля от его пароля получают хеш и сравнивают его с хранимым в базе

[SagePtr]

ключа длиной 32 символа никак не получается.

Как это не получается? https://3v4l.org/pFoQO

[Сергей Васильев]

SagePtr, Да, разобрался, что то тупил, теперь появилась еще одна проблема, методом который как в файле создается случайный хеш всё время, даже если используются одни и те же данные

[SagePtr]

Сергей Васильев, а кто сказал, что хэш всегда должен одинаковый создаваться? По правилам хорошего тона используется случайная соль

[Сергей Васильев]

SagePtr, а каким тогда образом я могу сравнить хеш введенного пароля и того что в базе. Что то не догоняю

[SagePtr]

Сергей Васильев, посолить с той же солью и сравнить

[Mylistryx]

SagePtr, ну что за бред? https://www.php.net/manual/ru/function.password-ve...
Много лет уже как.

[SagePtr]

Mylistryx, я про то, как математически этот процесс реализован (что хеши не совпадают, но при этом проверка возможна), а не про наличие функций в PHP. Не собирался запутывать автора, который начнёт пытаться к своему велосипеду применить функцию password_verify и обломается.

Answer 1

[Борис Сёмов]

В laravel, по умолчанию используется bcrypt, но это фреймворк, а не законченное приложение, и в конкретном приложении может быть любой алгоритм хеширования.

Восстановить пароли не получится, т.к. хранятся их хеши, а не пароли в явном виде. Можно заняться перебором и сравнением хешей, как это и делается при авторизации, но это мало эффективно.