Hashage md5, sha1 etc...

pchlj a écrit :

après c'est un choix... soi ton hash par divers procédés et on en connait jamais la valeur originale, on en peut que comparer.

Soit on crypte avec donc une possibilité de décrypter.

pour les mots de passe le hashage est plus que recommandé car c'est le plus sécure.

Un cryptage bien fait peut être tout aussi sécure

pchlj a écrit :
Oui et non pas forcément... il est "facile" de faire de l'injection sql pour voir les bdds mais cela ne donne pas accès au code pour autant donc la méthode n'est pas forcément connue

function Blowfish_Decrypt($data, $KeyBlowFish){
	$iv = pack("H*" , substr($data, 0, 16));
	$x = pack("H*" , substr($data, 16)); 
	$res = mcrypt_decrypt(MCRYPT_BLOWFISH, $KeyBlowFish, $x , MCRYPT_MODE_CBC, $iv);
	$res = preg_replace('/[^(\x20-\x7F)]*/', '', $res);
	return $res;
}

function Blowfish_Encrypt($data, $KeyBlowFish){
	$iv_size = mcrypt_get_iv_size(MCRYPT_BLOWFISH, MCRYPT_MODE_CBC);
	$iv = mcrypt_create_iv($iv_size, MCRYPT_RAND);
	$crypttext = mcrypt_encrypt(MCRYPT_BLOWFISH, $KeyBlowFish, $data, MCRYPT_MODE_CBC, $iv);
	return bin2hex($iv . $crypttext);
}

$salt = "abc123";
$text = "Message secret !";

$text_crypt = Blowfish_Encrypt($text, $salt);
$text_decrypt = Blowfish_Decrypt($text_crypt, $salt);

echo $text_crypt;
echo "<br>";
echo $text_decrypt;

// exemple sur php.net
$hash = '$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a';
if (password_verify('rasmuslerdorf', $hash)) {
    echo 'Le mot de passe est valide !';
} else {
    echo 'Le mot de passe est invalide.';
}

$mdp_utilisateur = password_hash("rasmuslerdorf", PASSWORD_DEFAULT); //->Ici, la valeur transmise par le formulaire, validé par l'utilisateur.
$hash = '$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a'; //-> Ici la valeur stocker en bdd.
if ($mdp_utilisateur === $hash)  {
    echo 'Le mot de passe est valide !';
} else {
    echo 'Le mot de passe est invalide.';
}

Alexbass a écrit :
bonjour à tous,

Je vous remercie pour vos explications et conseils.

Du coup j'ai un peu lu le manuel php sur password_hash et password_verify.

ôtez moi d'un doute :

// exemple sur php.net
$hash = '$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a';
if (password_verify('rasmuslerdorf', $hash)) {
    echo 'Le mot de passe est valide !';
} else {
    echo 'Le mot de passe est invalide.';
}

est bien égale à

$mdp_utilisateur = password_hash("rasmuslerdorf", PASSWORD_DEFAULT); //->Ici, la valeur transmise par le formulaire, validé par l'utilisateur.
$hash = '$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a'; //-> Ici la valeur stocker en bdd.
if ($mdp_utilisateur === $hash)  {
    echo 'Le mot de passe est valide !';
} else {
    echo 'Le mot de passe est invalide.';
}

Ou bien je suis à l'ouest et je n'ai rein compris?

kustolovic a écrit :

Non. Tu fais ce que tu veux avec tes propres mots de passes. Les mots de passe de tes utilisateurs doivent être hashés, un point c'est tout. Le chiffrement est forcément moins sûr. Son utilisation doit être réservée aux cas où on a absolument besoin de retrouver la donnée déchiffrer. Comme les seules raisons de faire cela pour les mots de passe sont absolument illégitimes, on utilise des hash.

QuentinC a écrit :
[
IL y a une règle très importante en cryptographie qui dit que la sécurité d'un hachage ou d'un cryptage ne doit jamais se reposer sur le fait que l'algorithme est secret.

pchlj a écrit :
*

<?php
/**
 * Dans ce cas, nous souhaitons augmenter le "cost" par défaut pour BCRYPT à la valeur 12.
 * Notez que nous passons également à l'algorithme BCRYPT, qui produit toujours un résultat
 * de 60 caractères.
 */

$options = [
    'cost' => 12,
];
echo password_hash("rasmuslerdorf", PASSWORD_BCRYPT, $options)."\n";
?>

Le résultat : $2y$12$QjSH496pcT5CEbzjD/vtVeH03tfHKFy36d4J0Ltp3lRtee9HDxY3K

Alexbass a écrit :

Est-ce qu'il est normal, que dans le hash récupéré, on retrouve le type de cryptage (si j'ai bien compris), ainsi que le coût ? ($2y -> pour BCRYPT et $12 -> pour le coût)

Alexbass a écrit :

A quel moment le salt est généré ? Par PASSWORD_BCYRPT ? (salage + hash) ?

Alexbass a écrit :

Si j'ai bien compris, PASSWORD_VERIFY, trouve lui même le salt qui avait été généré, et trouve lui même la méthode utilisée? (BCRYPT ou DEFAULT) ?

Alexbass a écrit :

Je pense que je vais utiliser l'exemple avec PASSWORD_BCRYPT (même si je n'ai pas toutes les subtilités de la machinerie invisible)

Alexbass a écrit :

Par contre, j'aimerais savoir quelles devront être les propriétés de ma colonne en SQL pour stocker ces mots de passe "hashés". (Je voulais faire un jeu de mot avec steak haché, mais j'ai pas trouvé. C'est peut être mieux ainsi )

a écrit :

Sur certain forum, certains disent qu'il y a donc un risque de trouver la méthode et le mot de passe.