¿Cuántas sales posibles generadas aleatoriamente podrían generarse usando la función password_hash () de PHP?

Question

¿Cuántas sales posibles generadas aleatoriamente podrían generarse usando la función password_hash () de PHP?

#1 de d0nut (3 votos)

1

Tengo dos preguntas aquí:

1) ¿Cuántas sales generadas aleatoriamente posibles podrían generarse usando la función password_hash() de PHP?

2) De acuerdo con php.net indica que el valor de retorno es un contenido " el algoritmo utilizado, el costo y la sal se devuelven como parte del hash "y asumo el hash mismo. De modo que, según tengo entendido, en una cadena devuelta de $2y$10$x27FUiXA/hFKjD7NDxyD6e63ac4gmCkTqXRpmy1Rk.MxXAqRd8yO6 el 2y indica el algoritmo, el 10 indica el costo, pero ¿qué caracteres indican la sal y qué caracteres indican el hash?

passwords php

pregunta kojow7 02.04.2016 - 00:21

fuente

1 respuesta

Lea otras preguntas en las etiquetas passwords php

Proxy + TOR = anónimo? Derechos de autor escalables de Rightscorp: ¿Cómo evitarían que esto constituya un riesgo de seguridad masivo?

score 3 · Accepted Answer

1) La sal para password_hash() es una sal de 128 bits que son los primeros 22 caracteres base64 después del factor de costo. En tu ejemplo, la sal sería x27FUiXA/hFKjD7NDxyD6e . Debido a que es de 128 bits, puede calcular el número de sales potenciales como 2 ^ 128 que es 3.4028237e+38 . Así que, en resumen, mucho.

2) Bueno, esto no parecía una pregunta, así que intentaré responder la parte de "qué caracteres indican el hash". Los hash son los 31 caracteres restantes después de la sal. En su caso 63ac4gmCkTqXRpmy1Rk.MxXAqRd8yO6 .

(también, su comprensión es correcta. 2y es el algoritmo, y 10 es el costo.)

Es importante tener en cuenta que password_hash() puede cambiar su implementación para usar un algoritmo diferente si actualiza PHP a una versión más reciente que lo cambie.

PASSWORD_DEFAULT: use el algoritmo bcrypt (predeterminado a partir de PHP 5.5.0). Tenga en cuenta que esta constante está diseñada para cambiar con el tiempo a medida que se agregan algoritmos nuevos y más sólidos a PHP .

Si usas PASSWORD_BCRYPT , siempre usará bcrypt.