패스워드는 bcrypt 나 PBKDF2 가 그래도 안전한것인지요?
https://www.dailycred.com/article/bcrypt-calculator
Bcrypt를 통해서 만든 해시가 여러개 나오네요..
그런데 비교를 해보면 모두 맞다고 나오네요..
첨부파일
|
댓글을 작성하시려면 로그인이 필요합니다.
댓글 6개
사이트가 해킹당하면, 패스워드를 맞을때까지 대입해 보는 방법으로(brute force) 찾아 낼수가 있네요..
PHP5.5버전이상을 쓰시는 분은 password_hash()를 사용하면 되겠네요.
에서
[code]
<?php
/**
* Note that the salt here is randomly generated.
* Never use a static salt or one that is not randomly generated.
*
* For the VAST majority of use-cases, let password_hash generate the salt randomly for you
*/
$options = [
'cost' => 11,
'salt' => mcrypt_create_iv(22, MCRYPT_DEV_URANDOM),
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>
[/code]
와 같은 방식을 사용하면 되겠네요..
http://stackoverflow.com/questions/19103340/what-is-an-alternative-to-password-hash-for-php-5-5-5-0
현재도 그렇게 구성한 사이트가 여럿 있구요.
아무래도 brute forcing 에는 key 스트레칭이 들어가는게 여러모로 마음이 편하겠죠.
https://defuse.ca/php-pbkdf2.htm