Veritabanlarında şifre güvenliği - bugün hala en iyi uygulama?

Olası Kopya:
Hangi şifre karma yöntemini kullanmalıyım?

Yığın taşması ve diğer sitelerdeki veritabanlarında parola güvenliği hakkında bir sürü harika mesaj var ve tamamen yeni olduğum için son günlerde bu konuda daha fazla bilgi edinmeye çalışarak saatler geçirdim. Bununla birlikte, o kadar çok farklı öneri ve en iyi uygulama var ki, hala çok karıştım ...

Ayrıca, 2007-2010 vb hala birçok eski mesajları vardır Ben ne kadar hızlı şeyler değiştiğini gördüğüm gibi ben bu önermek gibi hala kullanmak için yaygın olup olmadığından emin değilim. Bu yüzden, gönderilerde bulduğum şeyi özetlemek ve sonra bulduğum bu yöntemin iyi bir uygulama olup olmadığını sormak istedim ...

Yani, bu bir rehber değil, ama bir özet, çok çok temel olduğunu biliyorum ve hatalar varsa lütfen beni düzeltin!

1. Sadece bahsetmek gerekirse: asla düz metin şifrelerini saklamamalısınız :)
2. Karma şifreleri "tek yönlü" yaparsınız, böylece hiç kimse düz metni göremez. Kullanıcı parolayı girdiğinde aynı şekilde hash yapar ve veritabanındaki karma geçişi ile karşılaştırırsınız.
3. Bir şifre hash ek olarak, tuz gerekir. Tuzu düz parola dizesine ekler ve yeni dizeyi toplarsınız. Düz parola zayıfsa, tuz eklemek daha uzun ve daha güçlü hale getirir.
4. Tuz ayrıca rasgele olmalıdır ("tuz" teriminin yine de rastgele olduğunu, aksi takdirde "anahtar" olarak adlandırıldığını okudum). Bu, Rainbow masa saldırılarını önlemek içindir, çünkü saldırganın her tuz için bir zaman çizelgesi oluşturması gerekir, bu da zaman açısından çok daha pahalıdır. Ayrıca iki kullanıcı aynı şifreye sahipse, rastgele tuzlar kullanırsanız bunu tanımazsınız.
5. Tuz bir sır değil! Veritabanında karma parolanın yanında depolanıyor. Bununla birlikte, bir zaman damgası, kullanıcının e-posta adresi veya rastgele bir tuz olarak kullanıcıya bağlı başka bir şey kullanmak en iyi fikir olmayabilir. Bunun bir nedeni olarak; kullanıcıların aynı şifreleri birden çok sitede/hizmette kullanma eğiliminde olduğunu belirtmiştir. Yani, tuz rastgele bir dize olmalı, en iyi okudum 64 bit olur mu?
6. Bir sonraki adım, karma işlemine (1000 veya daha fazla döngü) yineleme eklemek, böylece tuz parolaya eklenir ve daha sonra tekrar tekrar karıştırılır, bu da kullanıcının oturum açarken beklemesi için sadece bir saniyenin bir kısmı anlamına gelir. , ancak DB'nizde 10.000 girişiniz varsa toplar.
7. Bir site anahtarı eklerseniz, örn. tuza ek olarak küresel bir varyasyon olarak. Ancak, her zaman saldırganların dosya sisteminize de erişebileceğini düşünmelisiniz.
8. Hashing algoritmaları: MD5, SHA1 ve diğer zayıf yöntemleri kullanmanın artık güvenli olmadığından emin oldum ...

Peki, SHA256, SHA512 kullanıp kullanmayacağınız konusunda farklı görüşler var mı? Hash_hmac kullanmalı mısınız? Bazıları evet der: ( http://rdist.root.org/2009/10/29/stop-using-unsafe-keyed-hashes-use-hmac/ ) bazıları kütüphanelerin sadece güvenli bir şekilde ... ve sonra bir veya iki kez bir kütüphanede bcrypt veya kabarcık balık olarak kitaplığı kullanmamayı okudum ??

Bir kütüphane kullanmak gerçekten gerekli mi yoksa örn. yeterince böyle bir yöntem:

function hash_password($password, $nonce) {

  for ($i = 0; $i < 5000; $i++) {
    $hashed_pass = hash_hmac('sha512', $hashed_pass . $nonce . $password, $site_key);
    }
  return $hashed_pass;
}

Birçok insan kendi algo'yu icat etmediğini söylüyor, bu yüzden sadece kendi icat ettiği herhangi bir şeyi kullanmaktan biraz korkuyorum.

Tahmin etmenin zor olduğunu tahmin edebiliyorum, ancak günümüzde kullanılan bir yöntem ne kadar süre yeterince güvenli kabul edilebilir?

GÜNCELLEME: Bu nedenle, tüm harika geri bildirimleriniz için teşekkür ederiz. Bir ana nokta eksik, gördüğüm gibi ve birçoğunuzun söylediği gibi: şifre güvenliği, yani güçlü bir şifre temeldir. Sanırım mesajı aldım, tekrar teşekkürler! :)

GÜNCELLEME 2: Sadece tamamlamak için, rastgele bir tuz oluşturmak için kullandığım http://www.lateralcode.com/creating-a-random-string-with-php/ kodunu buldum :

function Rand_string( $length ) {
    $chars = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!§$%&/().-:;_#+*[]{}="; 

    $size = strlen( $chars );
    for( $i = 0; $i < $length; $i++ ) {
        $str .= $chars[ Rand( 0, $size - 1 ) ];
    }

    return $str;
}

$random_salt= Rand_string(20);