Является ли это плохой практикой для хранения паролей в PHP?

Question

Я использую функцию криптографии в PHP для хэш-паролей, а также соли. Но я генерирую соль, вызывая функцию md5 над функцией даты. И каждый раз, когда пользователь регистрируется в соли, регенерируется.

Есть ли это в любом случае? Я по-прежнему относительно новичок в PHP (и webdev), и я пытаюсь получить свою защиту прямо перед тем, как развернуть этот код.

$salt = md5(date('m/d/Y h:i:s a')); 

Answer 1

Это считается плохой практикой для многих. Вот некоторые из причин:

1. Вы используете md5, слабый, старый и быстрый, чтобы вычислить хэш.
2. Соль генерируется предсказуемым образом. Соль должна отличаться для каждого пользователя (даже если она зарегистрирована в той же самой секунде) и должна быть более случайной, чем дата.
3. Вы изобретаете колесо. Вы используете функцию crypt для хэширования паролей, поэтому нет причин не использовать это для получения соли. password_hash() - это встроенная функция PHP 5.5 и compatibility library для версий, которые немного старше этого.

How to use password_hash()

TL; DR: использовать password_hash() для создания соли и хэш пароля, не нужно изобретать велосипед в менее безопасным способом.

Кредит, предоставленный Hobo Sapiens для упоминания password_hash().