php - 我应该存储密码的哈希值吗？

Question

用户系统和密码:我正在查看 MD5 资料，我想知道密码的正常/良好做法是什么。现在，我认为人们对密码进行了 super 加密并存储了哈希值。如果是这样，密码检查是如何工作的？我只是让输入的密码再次经过加密过程，然后用存储的密码检查哈希值，对吗？

这个问题可能与上面的问题相矛盾，但是我的盐应该是随机生成的值吗？如果是，什么时候有用？

编辑:除了密码，在用户系统中，还有什么应该加密的好习惯？他们会加密用户名或其他任何内容吗？

第二次编辑:什么是单向哈希？我的意思是，从技术上讲，我不能对我的源代码进行逆向工程吗？也许这是一个糟糕的问题，因为我对单向哈希知之甚少。

Answer 1

首先你创建一个盐。

注意示例是用 PHP 编写的

// Setup a salt, this isn't "random" but it doesn't really have to be
$salt = sha1(microtime());

然后对密码加盐

// First we hash the password, then XOR it with the salt hashing the result
$hash = sha1(sha1($password) ^ $salt);

将$hash和$salt存入数据库。

当用户输入密码时，将其与哈希进行比较

if(sha1(sha1($entered_password) ^ $salt) == $hash)
    // Correct password

永远不要以可逆格式存储密码。另外，我建议不要使用 MD5 作为哈希值。

Edit: Other than passwords, in a user system, what else should be encrypted as a good practice? Do they encrypt usernames or anything else?

密码未加密，它们是散列的。将散列(非常简单化)想象成接受一个数字并将其乘以 10 的东西。假设我想散列数字 30。我会说 30*10 并得到 300 作为我的 30 的“散列”。请注意，如果不知道散列函数的工作原理，则无法从 300 派生出 30。

这是一个非常简单的“散列”，如果您知道它总是乘以 10，那么您就可以轻松地反转它。 Now take a look at the SHA1 hash function .它要复杂得多。它不能简单地逆转。

您会发现除了密码之外很少有任何东西被散列，并且没有任何东西被加密。加密数据库的开销将是巨大的。

我假设您可以对用户名应用类似的 salt/hash 模式，但是您有陷阱。如果您想在代码中的某处使用该用户名怎么办？如果你想检查以确保它对表是唯一的怎么办？

2nd Edit: What is a one-way hash? I mean, technically, can I not reverse engineer my source code? Maybe this is a bad question because I do not know much about one-way hashing.

见上文(or click here)。单向哈希就是这样。一种方式映射。 A => B 仅此而已。 B !=> A，A 只能是B。

有人提到了XOR 运算的性能。虽然我觉得性能在很大程度上可以忽略不计，但我进行了快速测试。

function microtime_float()
{
    list($usec, $sec) = explode(" ", microtime());
    return ((float)$usec + (float)$sec);
}

现在运行

$start_time = $this->microtime_float();

for($i = 0; $i < 100000; $i++)
{
 $sha = sha1(sha1(microtime()) . sha1(microtime()));
}

$end_time = $this->microtime_float();

echo "1000 in " . ($end_time-$start_time) . " for CAT\n";


$start_time = $this->microtime_float();

for($i = 0; $i < 100000; $i++)
{
 $sha = sha1(sha1(microtime()) ^ sha1(microtime()));
}

$end_time = $this->microtime_float();

echo "1000 in " . ($end_time-$start_time) . " for XOR\n";

想重复多少就重复多少。 initial writeup使用错误日志，我得到了以下结果:

1000 in 0.468002796173 XOR
1000 in 0.465842008591 XOR
1000 in 0.466115951538 XOR
1000 in 0.498080968857 CAT
1000 in 0.506876945496 CAT
1000 in 0.500174045563 CAT