PBKDF2 암호 저장 - 유효성을 검사하는 방법?

Question

로그인 할 때 PBKDF2를 사용할 때 암호를 확인하는 방법을 알아 내려고합니다. PHP를 사용하고 있으므로 기본 비밀번호 생성 코드는 다음과 같습니다.

$salt = mcrypt_create_iv(16, MCRYPT_DEV_URANDOM); 
echo hash_pbkdf2('sha256', 'password', $salt, 1000, 32); 

데이터베이스에 해시 된 비밀번호를 저장했습니다. 소금이 없어 소금이 각 사용자마다 무작위로 생성되므로 로그인 입력에 대해이 암호를 테스트하는 방법을 모르겠습니다. 저장된 암호에서 소금을 "추출"하고 입력 된 암호 앞에 추가하고 저장된 암호와 비교하여 결과를 테스트하려면 어떻게합니까?

Answer 1

당신은 예를 들어, 해시와 함께 소금을 저장해야합니다

$hash = $salt . '|' . hash_pbkdf2(.., .., $salt, ..); 

그런 다음 나중에 다시에서 소금을 추출하고 검증 알고리즘에 다시 급지 할 수 있습니다. 사실 해시에 대한 모든 관련 입력 매개 변수 (암호 자체는 제외하고)를 사용하여 필요에 따라 나중에 알고리즘을 변경하면서 해시 된 암호의 유효성을 계속 검증 할 수 있도록 허용해야합니다.

$hash = $algo . '|' . $salt . '|' . $rounds . '|' . hash_pbkdf2($algo, .., $salt, $rounds, ..); 

실제로는 이미 crypt API를 사용해야하며 이미 이와 비슷합니다.

하지만 실제로는 password_hash을 사용해야합니다. crypt 주위에 사용자 친화적 인 래퍼가 있어야 올바르게 작동합니다.