使用 Codeigniter 存储密码的最安全方法是什么？

Question

我正在为我当前的项目使用 Code Igniter。

到目前为止，我正在使用 MD5 进行密码散列，但我在很多地方都读到过，这样做不是一个好习惯。

我应该带什么去？

1. 使用盐
2. 或者我应该使用 bcrypt

另外，如果推荐bcrypt，那么如何配合Code Igniter使用呢？

编辑

我已将这些文件放入application/libraries

1. 密码哈希.php
2. c/Makefile
3. c/crypt_private.c

在我的控制器中，我正在使用此代码 -

$params = array(
       'phpass_hash_strength' => 8,
           'phpass_hash_portable' => FALSE
       );
$this->load->library('PasswordHash', $params);
$password = $this->passwordhash->HashPassword($pwd);

我收到这些错误 -

A PHP Error was encountered

Severity: Notice

Message: Uninitialized string offset: 3

Filename: libraries/PasswordHash.php

Line Number: 116

---

A PHP Error was encountered

Severity: Warning

Message: strpos() [function.strpos]: Empty delimiter

Filename: libraries/PasswordHash.php

Line Number: 116

---

更新

删除了PasswordHash.php，现在使用SimpleLoginSecure。

Answer 1

使用 bcrypt。这个讨论出现在我的答案的 cmets 中here。您可以使用诸如phppass 之类的库来真正简化密码加密。

关于盐的问题。用它！否则，有人可以简单地转到this site 并下载彩虹表，该表将涵盖普通用户选择的大部分密码。尤其是在过去几个月的所有安全漏洞中，现在不是说您不会使用像随机盐这样简单实现的东西的时候。

更新

要将 PHPPass 与 CI 结合使用，请从上面链接的 phppass 网站下载并提取文件。将 PasswordHash.php 文件放入您的 CI 应用程序/库目录。

在您的代码中，然后通过以下方式加载库：$this->load->library('PasswordHash',array(8, FALSE));

哈希密码就像$this->PasswordHash->HashPassword($password);一样简单

以后检查密码是否正确，很简单：

$password = $_POST['password'];
$actualPassword = /*Get the hashed password from your db*/;

$check = $this->PasswordHash->CheckPassword($password, $actualPassword);

我从http://dev.myunv.com/articles/secure-passwords-with-phpass/ 获取了这个演示，它为您提供了更多信息。我已经稍微修改了该教程以利用 CI 的加载程序，这就是您不需要 include 或 new 语句的原因。

Answer 2

md5() 与 sha1() 一样易于使用，为什么还要使用它？

对密码加盐总是一个好主意，因为它有效地消除了Rainbow Table 攻击的威胁

根据我的经验，加盐 SHA1 哈希对于 99% 的 Web 应用程序情况来说是非常安全的。

Answer 3

自提出此问题以来，Code Igniter 发生了变化。但是为了一些可能没有接触过 CI 的大量文档或以前没有见过的人的利益，CI 有一个加密类，它使用 PHP 的 Mcrypt 库提供双向数据加密。

使用以下方法初始化类后：

$this->load->library('encrypt');

您可以如下加密：

$msg = 'My secret message';
$encrypted_string = $this->encrypt->encode($msg);

解密如下：

$encrypted_string = 'APANtByIGI1BpVXZTJgcsAG8GZl8pdwwa84';
$plaintext_string = $this->encrypt->decode($encrypted_string);

CI 还有一个不可解码的单向散列：

$hash = $this->encrypt->sha1('Some string');

有关详细信息，请参阅： http://www.codeigniter.com/user_guide/libraries/encryption.html