Secure Password Storage: SHA1 vs MD5 vs SHA256 vs BCrypt

al diseñar un sistema de inicio de sesión seguro, la opción de algoritm de hashing es crucial. Las opciones tradicionales, SHA1, MD5 y SHA256, tienen vulnerabilidades conocidas. Si bien la sal puede mitigar estos riesgos, es importante considerar alternativas más robustas.

bcRypt: la opción preferida

la respuesta a "qué algoritmo de hashing utilizar para un PHP ¿acceso?" está claro: bcrypt. A diferencia de SHA1, MD5 y SHA256, BCRYPT está diseñado para la seguridad, no la velocidad. Utiliza un proceso de hashing más lento con rondas y sales complejas para disuadir los ataques de fuerza bruta.

Php 5.5 Implementación

Versiones modernas de PHP (5.5) Proporcionando BCRYPT nativo a través de la función contraseña_hash ():

// Creating a hash
$hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]);

// Verifying the password against the stored hash  
if (password_verify($password, $hash)) {
    // Success! Log the user in here.
}

versiones PHP más antiguas

para versiones más antiguas de php, puede usar la biblioteca contraseña_compat para implementar bcrypt:

// Creating a hash
$hash = password_compat_hash($password, PASSWORD_BCRYPT);

// Verifying the password against the stored hash  
if (password_compat_verify($password, $hash)) {
    // Success! Log the user in here.
}

precautions

bcrypt tiene dos advertencias importantes:

• trunca silenciosamente contraseñas de más de 72 caracteres.
• Trunca después de cualquier caracteres nul.

de crear su propia solución alternativa, use una biblioteca segura como Zend \ crypt o contraseña. ]