Как лучше хэшировать пароли?

Question

[Matthew Stafford]

Всем привет! Чем же всё-таки лучше захэшировать пароль? SHA256 + динамическая соль из логина/ид+дэфолтной соли или password_hash?

Answer 1

[green_goo]

password_hash.
И password_hash никак не мешает для дополнительного использования

динамическая соль из логина/ид

но особого смысла в этом не вижу

Такие хеширующие алгоритмы как MD5, SHA1 и SHA256 были спроектированы очень быстрыми и эффективными. При наличии современных технологий и оборудования, стало довольно просто выяснить результат этих алгоритмов методом "грубой силы" для определения оригинальных вводимых данных.

https://www.php.net/manual/ru/faq.passwords.php#fa...

Comments

[DevMan]

динамическая соль имеет очень важную плюшку.
другое дело - password_hash сам генерирует соль, и нет смысла придумывать свою.

Answer 2

[xmoonlight]

Я бы начал с вопроса:

Как и где мне хранить дефолтовую "соль" так, чтобы её не так просто было стащить вместе с базой данных?

Ответ прост: хранить базу пользователей отдельно от основной базы данных (на другом сервере) и взаимодействовать с ним по API и там уже хешировать как хотите, т.к. база с пользователями/паролями уже будет недоступна из-вне.