Куда девается последний символ соли при генерации хэша функцией crypt()?

Question

[Николай]

Здравствуйте, интересная ситуация получилась. Имеем простой код:

class Test
{
    const CRYPT_PREFIX = '$2y$';

    const CRYPT_COST = '10';

    const CRYPT_SALT = '$thisisahardcodedsaltaa'; // Обратите внимание: на конце две "а"

    const BLOWFISH_PREFIX = self::CRYPT_PREFIX . self::CRYPT_COST . self::CRYPT_SALT;

    public static function token($string): void
    {
        $hash = crypt($string, self::BLOWFISH_PREFIX);

        var_dump($hash);
    }

}

Test::token('123');

Вывод получаем такой (специально не стал оборачивать в код, что бы выделить соль):

string(60) "$2y$10$thisisahardcodedsaltaO3g7GW1sCmfhfAhFlth8T.RT/YkR9USi"

Знатоки, вопрос: куда пропал последний символ соли?

P.S. можно выполнить на onlinephp.io

Answer 1

[Ипатьев]

Отсюда

Blowfish использует в качестве соли не буквально те самые буквы и цифры, которые вы пишете, а воспринимает их как поток бит, закодированный в свой вариант base64. При этом с помощью 22 символов можно закодировать 132 бита ( 22 символа х 8 бит х 3/4 (кодирование в base64) = 132), из которых реально используются только 128. Соответственно, из последнего символа берется только половина бит.

Это в частности означает, что для 16 разных солей хэши будут одинаковые:

thisisahardcodedsaltaO
thisisahardcodedsaltaP
thisisahardcodedsaltaQ
thisisahardcodedsaltaR
thisisahardcodedsaltaS
thisisahardcodedsaltaT
thisisahardcodedsaltaU
thisisahardcodedsaltaV
thisisahardcodedsaltaW
thisisahardcodedsaltaX
thisisahardcodedsaltaY
thisisahardcodedsaltaZ
thisisahardcodedsaltaa
thisisahardcodedsaltab
thisisahardcodedsaltac
thisisahardcodedsaltad

Cудя по всему, blowfish не берет соль как есть, а сначала раскодирует её, использует, а потом кодирует обратно, и при этом кодировании получается первый из возможных вариантов.

Comments

[Николай]

Не понял, к чему вы это?
Типо, обрезает? Дак непонятно почему он обрезает 22-ой символ, если их должно быть 22?
Если всё перенести из констант - всё будет ок

[Ипатьев]

Сорян, тупанул. Вот отгадка, https://stackoverflow.com/a/15727563
Сейчас кратко перепишу в ответ

[Николай]

Ипатьев, воо, теперь понял, спасибо)

[Ипатьев]

Блин, опять наврал :)
Вот теперь все точно

[Николай]

Ипатьев, как я и думал, всё намного сложней, спасибо)