Пароли пользователей после переноса с yii?

Question

[Владимир]

Добрый день, требуется решить следующую задачу:
Был сайт на yii, за время его существования появилось много активных пользователей которых не хотелось бы терять. Так как сайт долгое время был не какой, пришлось его переписывать но уже на обычном php.
И все бы ничего вся проблема случилось с тем, что пароли пользователей хранятся в зашифрованном хэшэ.
Как на классическом php можно повторить этот алгоритм шифрования пароля, что бы не изменяя паролей, пользователи смогли авторизовываться?

Comments

[vyachin]

поделитесь опытом что переделывали и как

[Владимир]

в какой конкретно части?

Answer 1

[xfg]

Yii использует алгоритм хеширования blowfish. Чтобы в php получить хеш по этому алгоритму, нужно просто взять функцию crypt и вторым аргументом передать соль в формате$2a$13$6abRKtrd12bvkltrfsorbd

где
$2a$ (также может быть $2x$ или $2y$) - указывает на алгоритм блоуфиш.
13 - сложность алгоритма, может быть от 04 до 31. Чем больше число, тем дольше будет вычисляться хеш.
6abRKtrd12bvkltrfsorbd - 22 символа для соли.

Проверить хеш против пароля можно функцией password_verify. Берете хеши, которые вам нагенерил Yii и передаете в функцию password_verify и всё у вас заработает, без проблем. Я с Yii на node.js уезжал с этими хешами, никаких проблем :)

Все что ниже можно не читать. Там для тех, кому интересно откуда взялось 3 разных префикса ($2a$, $2x$, $2y$).

Префиксы $2y$ и $2x$ существуют только в PHP, так как они налажали в алгоритме блоуфиш в версиях до 5.3.7. Префикс $2x$ был добавлен для обратной совместимости, т.е. если вы генерили хеши $2a$ в версии PHP до 5.3.7 и теперь обновились до или выше этой версии и хотите, чтобы ваши уже существующие уязвимые хеши продолжали правильно работать, то нужно было заменить у таких хешей префикс с $2a$ на $2x$. Префикс $2y$ это уже исправленный алгоритм хеширования и ничем не отличается от $2a$ в версиях PHP 5.3.7 и выше. Подробнее обо всем этом можно прочитать php.net/security/crypt_blowfish.php

Yii использует префикс $2y$. Но в спецификации из всех этих префиксов есть только $2a$ и его и нужно использовать, если у вас версия выше или эквивалентна PHP 5.3.7. Так что, если вы избавились от Yii, то можете поменять и префикс у ваших хешей. Потому что, когда я мигрировал на node.js библиотека для блоуфиш хеширования естественно не поддерживала никаких $2y$ и $2x$ и не собиралась этого делать в дальнейшем, так как это не их баги, а PHP, вот пусть PHP с этими префиксами и живет :)

Comments

[Александр Борисович]

киньте пожалуйста список пакетов для ноды на которые вы перешли c Yii2

Answer 2

[Stalker_RED]

Открыть исходники, посмотреть как реализованы вот эти методы и повторить их у себя.

Comments

[Владимир]

по документации тихий ужас )) может кто то уже сталкивался с такой задаче, есть более рациональный вариант, нежели адаптация 100500 функций, ради авторизации...

[Stalker_RED]

Владимир: Эм... на самом деле для генерации и проверки паролей вам нужны всего два метода, оба строк на 10-15.

[Stalker_RED]

Владимир: Ну еще третий - генератор соли.

Answer 3

[Дмитрий]

Добрый вечер.
В смысле "тихий ужас" по документации?
А по теме, если не в состоянии разобраться с документацией, можно сделать так:
1) Переносите пользователей в новую базу
2) Генерируете новый пароль
3) И далее
а) высылаете новый пароль с рекомендацией сразу же его сменить
б) высылаете ссылку на смену пароля, защищаете токеном
Вот как-то так.

Comments

[Владимир]

Сделал как по документации, проблема в том что эти классы по цепочке расширяются )) в результате я получил каждый раз разную генерацию хэша, при одном и том же пароле. При этом сальто он генерит верное

[Дмитрий]

Владимир: Ну так зачем Вам сушить голову?
Попробуйте так, как я написал. Тем более, что часть записей в базе окажется мёртвой, ещё часть не захочет дальше пользоваться сайтом и так далее и тому подобное.

[Владимир]

slo_nik: к сожалению, это будет не самый лучший вариант. Хочется, что бы пользователи ничего почти не заметили.

Answer 4

[Immortal_pony]

Вам необходимо внедрить в систему алгортитм хэширования пароля из Yii. Посмотреть его можно в исходниках.

public static function hashPassword($password,$cost=13)
{
    self::checkBlowfish();
    $salt=self::generateSalt($cost);
    $hash=crypt($password,$salt);
    if(!is_string($hash) || (function_exists('mb_strlen') ? mb_strlen($hash, '8bit') : strlen($hash))<32)
        throw new CException(Yii::t('yii','Internal error while generating hash.'));
    return $hash;
}

Comments

[Владимир]

этого не достаточно, там явно что то еще, собрав по документации, каждый раз хэш генериться разный.

[Immortal_pony]

Владимир, хэш и должен быть разный.

[Владимир]

Immortal_pony: Тогда как я должен авторизовать пользователя?

[Владимир]

Все, разобрался! Все авторизует корректно

[GrimJack]

Владимир: не поделитесь алгоритмом действий?)

[Владимир]

Михаил Шпаков: все оказалось не сложно ) пришлось создать отдельный файлик с 3 классами, каждый по 2-3 функции. Если нужно могу попробовать скинуть куда нибудь.