Пароль MD5 дважды

Если вы не верите в MD5, вы можете попробовать более высокий алгоритм, используя хэш () функция:

$hash1 = hash('sha1', 'The string to hash by SHA-1');
$hash2 = hash('sha256', 'The string to hash by SHA-256');
$hash3 = hash('sha512', 'The string to hash by SHA-512');
$hash4 = hash('ripemd160', 'The string to hash by RIPEMD-160');

На мой взгляд, нет смысла хешировать дважды.

РЕДАКТИРОВАТЬ: исправлена ​​опечатка в последней строке кода.

Двойное хеширование практически не имеет смысла и не дает многого. В целом, однако, множественное хеширование может иметь некоторый смысл. Например, если вы хэшируете достаточно времени, чтобы занять что-то вроде 100 мс (или около того, в зависимости от оборудования), это может немного. Основная идея довольно проста: добавление 100 мс к обычному входу в систему - это едва заметная задержка, но если вы пытаетесь создать что-то вроде таблицы для атаки по словарю, умножая время что-то вроде тысячи (или чего бы там ни было) начинает иметь реальное значение - таблица, которую вы обычно могли бы вычислить (скажем) за день, вместо этого занимает несколько лет. Этой разницы достаточно, чтобы кто угодно, кроме действительно серьезных злоумышленников, часто сдастся (или им просто станет скучно) задолго до того, как они закончат свою работу.

Соль - это полностью отдельный инструмент. Его использование не компенсирует слабость базовой хеш-функции. Идея здесь в том, что размер таблицы для атаки по словарю становится существенно больше (например, для однобайтовой соли в 256 раз больше). Соль не обычно хранится в секрете, но она относительно случайна, поэтому злоумышленник, выполняющий атаку по словарю, не может просто хэшировать каждое слово как есть, но должен учитывать каждое возможное значение соли. Риск повторения: он касается слабых мест в том, как (большинство) людей выбирает пароли, не слабых мест в самой хэш-функции.

Независимо от того, используете ли вы алгоритм MD5 ...

Нет, у злоумышленника всегда может быть две радужные таблицы (одна для дополнительного уровня хэшей, а другая для паролей). И из еще один мой ответ:

[...] он по-прежнему требует только пароль и больше ничего не нужно взламывать. Другими словами, вы просто применяете хеш-функции к одной и той же вещи еще несколько раз.

Вы используете соль, чтобы злоумышленнику было труднее получить ваши пароли, потому что тогда ему нужно было бы знать соль, чтобы он мог использовать ее при вычислении хэшей для ваших паролей.

Надежно хранить пароли сложно, большинство советов, опубликованных здесь, неточны. Так что я полагаюсь на широко цитируемую публикацию Томаса Птачека по этой теме: http://chargen.matasano.com/chargen/2007/9/7/enough-with-the-rainbow-tables-what-you-need-to-know-about-s.html

Для протокола я оценил, что

$val = 'test';
$salt='somerandom!!aa##9900';
$val = md5($salt.$val);
$val = md5($val);

Это довольно безопасно. Секрет в соли.

Однако md5 короткий, поэтому шансы совпадения "высоки" (одно из 1.208.925.819.614.629.174.706.176 = 32 ^ 16, 32 слова с шестнадцатеричным числом каждое)