Salt maken met OpenSSL of Mcrypt
Wat ik ook wel eens zie, is dat er een uuid wordt gebruikt. Ook die voldoen aan de voorwaarde dat ze wereldwijd uniek zijn (althans, de kans is best wel klein dat je twee dezelfde genereert) en ze zijn bovendien snel te genereren.
Het gaat overigens om een verbetering van deze $salt uit OpenCart:
Code (php)
1
$salt = substr(md5(uniqid(rand(), true)), 0, 9);
Dat is natuurlijk een opeenstapeling van meerdere fouten.
En md5() met een undefined rand() ook.
Dat kan inderdaad veel beter. En of je nu 255 tekens of 9 opslaat, dat verschil is echt te verwaarlozen.
Knelpunten:
1. rand() is zwakker dan mt_rand();
2. uniqid() geeft geen unieke ID;
3. md5() is zwak en verouderd;
4. substr() geeft hier maar 9 hexadecimale karakters.
Ik heb mijn voorlopige oplossing in een inhaaktopic gepost.
Gewijzigd op 04/11/2014 08:53:27 door Stefan Fransen
Daarmee vertaal je eventueel moeilijk te raden tekens naar makkelijkere (A-Z, a-z, 0-9).
Je kan het wel makkelijker doorspelen via urls etc, maar waarom zou je dit doen?
Goed, je kan het terugvertalen (en is dus geen hash), maar toch.
Een salt mag openbaar zijn, dus is het al dan niet moeilijk kunnen raden geen issue.
Hoogstens zou je kunnen zeggen dat een base64-encode de entropie van de salt verlaagt, maar ook dat is eigenlijk niet zo'n heel belangrijk punt. Als de salt maar uniek is. ;-)
> Een salt mag openbaar zijn, dus is het al dan niet moeilijk kunnen raden geen issue.
Correct. Ik heb de methode daarom vereenvoudigd tot ASCII-karakters en de Mersenne Twister. Daarbij staat $this->Length standaard op 255, zodat de salt makkelijk in een CHAR(255) is op te slaan:
Code (php)