로그인 할 때마다 데이터베이스의 암호 값을 변경하십시오.

Question

사용자가 데이터베이스에 로그인 할 때마다 암호 값을 변경하는 좋은 방법입니까? 사용자가 시스템에 새 계정을 등록 할 때 암호를 해시하는 해시 함수를 작성했습니다. 사용자가 로그인 할 때마다 데이터베이스의 해시 값이 변경됩니다. 좋든 나쁘니?

Answer 1

당신이이 해시 함수를 모두 스스로 설계했다면 ... 아주 나쁜 생각입니다. 왜 이렇게 필요한거야? 소금에 절인 SHA-256 해시 암호를 저장하면 보안이 충분합니다. 암호를 다시 생성 할 필요가 없으며 추가 보안을 제공하지 않습니다. 앱이 SQL-Injection을하는 경향이 있다면이 스키마는 앱을 보호하지 못합니다. 당신은 소금과 키 입력 SHA-256,이 같은 것을 사용하는 경우가 훨씬 더 될 것이다 :

$username = 'Admin'; 
$password = 'gf45_gdf#4hg'; 
$key = 'MySuperSecretKEY!!!!'; 
$salt = hash('sha256', uniqid(mt_rand(), true) . 'something random' . strtolower($username)); 
$hash = $salt . $password . $key; 
$hash = hash('sha256', $hash); 
$hash = $salt . $hash; 

후 확인 (나는 PHP 코더 아니에요, 난 그냥 우리의 애플 리케이션이 안전 할) :

$username = 'Admin'; 
$password = 'gf45_gdf#4hg'; 

$sql = ' 
    SELECT 
    `hash` 
    FROM `users` 
    WHERE 
     `username` = "' . mysql_real_escape_string($username) . '" 
    LIMIT 1 
    ;'; 

$r = mysql_fetch_assoc(mysql_query($sql)); 

$salt = substr($r['hash'], 0, 64); 
$hash = $salt . $password . $key; 
$hash = hash('sha256', $hash); 
$hash = $salt . $hash; 

if ($hash == $r['hash']) { 
    //OK 
} 

공격자가 자신이 모르는 염장 알고리즘을 속일 수있을 것입니다 그래서 경우에도 핵심 그는 SQL 주입 공격에 유효한 해시를 재현 할 수 없기 때문.