レビログ　(Make a little happier) 13周年

: ファイルをTrimするサンプル　（PHP　サンプルコード）

2017年4月30日 Category > 6_日記 > うだうだ日記 > 9_未分類 > プログラム > TAG( ) Comment : 0

とあるファイルをTrimするPHPのサンプルコードです。

コピペしたい方は
こちらです。

https://ideone.com/JF0kNM

: PHP password_hash 関数の　自作デモ　（リアルタイムTweet)

2017年4月22日 Category > 6_日記 > うだうだ日記 > 9_未分類 > プログラム > TAG( ) Comment : 0

@kokorohamoe うーん。ソルトとハッシュ値は一緒に保管すると思いますよ。こんな感じで1行で https://t.co/ttd8IYvBrm

— なまえだよ (@namaedayo) April 22, 2017

では、次は、password_hashという
パスワードのハッシュ化専用の関数を使ってみたいと思います。

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

https://t.co/SpUO4aCHlt
関数名を　かえただけなので
すぐできました。

でてきた　文字の長さから見ると　SHA256では　ないみたいですね。 pic.twitter.com/IkotVTEZrq

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

それでは、
こんどはここに　先程使った
password_hash のソースコード　（PHP)
がありますのでhttps://t.co/xYUHniEAcq

これを参考に　自前で　password_hash に近いものを
作ってみたいと思います。

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

まずは　ソルトの生成アルゴリズムのコードを　見つけ出します。

これですね。$buffer = openssl_random_pseudo_bytes($raw_salt_len, $strong);

が　こまったことにIdeoneでは実行できませんでした・・・

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

is_readable('/dev/urandom') が　OK　だったので

is_readable('/dev/urandom')で　やってみることにします。

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

password_hashのソースから必要な部分だけを抜き出してhttps://t.co/xYUHniEAcq

SALTの生成関数を　まずは作りました。
所要時間は２３分ぐらいですが、エラー処理がないので　だいたい１時間必要？https://t.co/EZTMwFU8zG pic.twitter.com/r2pQPF1rrr

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

今回は　PREFIXのSALTと　POSTFIXのSALTを２つ作りました。
これと　パスワードを使って　SHA256で　HASH化して
本来はDBに入れるのですが

ARRAYに入れてみたいと思います。

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

https://t.co/S1YxiJOt4z
完成しました。
今回はエラー処理や　DB処理を　省いているので　１時間程度で完成ですが、実際はもっとかかります。

SALTを参考に自作（https://t.co/xYUHniEAcq）
し独自のPasswordHASHを作りました pic.twitter.com/Kl6dV99yDd

— 鈴木・萌え（説教オジサンなおんない (@kokorohamoe) April 22, 2017

: パスワードの　ハッシュ化（暗号化）の方法　PHP版

2017年4月22日 Category > 6_日記 > うだうだ日記 > 9_未分類 > プログラム > TAG( ) Comment : 0

パスワードの　ハッシュ化は　完璧ではありませんが
やっておくと、パスワードが流出した時の　簡単な防御策の１つになります。

※DBの構造も変わりますし、ソルトの添付なども含めると話は複雑になります。大変です。
詳しい話はリンク先を御覧ください。

手間暇をかければパスワードは解析されてしまいますが、
コードはとても簡単なので　やっておいたほうがいい
セキュリティーの１つです。

１行程度でできるので、がんばってください。
入力は$_POST[“pass”]でパスワードが入力されるとします。

input:<?php echo $_POST["pass"] ;?>

md5:<?php echo md5 ($_POST["pass"]) ;?>

sha1 :<?php echo sha1  ($_POST["pass"]) ;?>

sha256 :<?php echo hash   ( "sha256",$_POST["pass"]) ;?>

md5 は処理が早く　サーバーの負荷がかるいですが、暗号化（ハッシュ化）は簡単にとけてしまいます。



sha256 は　暗号化は強い暗号化ですが、サーバー負荷が高いために、安いサーバーだと厳しいかもしれません。

実行した結果の　サンプル画像

もっと　詳しい　ソルトなどを加えた　処理はこちら

ハッシュとソルト、ストレッチングを正しく理解する：本当は怖いパスワードの話 (2/4) - ＠IT
その他、辞書的攻撃など　いろいろな防備が必要ですがそれはまた別のお話で
どうやっても完全なセキュリティーはありません。
今回の趣旨は、すごい技をひろうということではなく、
お粗末な技ではありますが、なにか、書かなければ、という事です。

参考文献

HTMLタグ/フォームタグ/入力フォームを作る – TAG index
HTMLタグ/フォームタグ/パスワード形式の入力欄を作る – TAG index
hash