नए एपीआई का उपयोग करके PHP 5.5 में पासवर्ड हैशिंग

BCrypt का उपयोग करना आमतौर पर हैश पासवर्ड के लिए स्वीकृत और सबसे अच्छा तरीका है, लेकिन बड़ी संख्या में डेवलपर्स अभी भी MD5 और SHA1 जैसे पुराने और कमजोर एल्गोरिदम का उपयोग करते हैं। कुछ डेवलपर्स हैश नमक का उपयोग भी नहीं करते हैं। PHP 5.5 में नया हैश एपीआई का उद्देश्य BCrypt पर ध्यान आकर्षित करना है, जिससे काम करना आसान हो जाता है। इस लेख में, मैं PHP में नए हैशिंग एपीआई का उपयोग करने की मूल बातें पेश करूंगा।

नया पासवर्ड हैशिंग एपीआई चार सरल कार्य प्रदान करता है:

• password_hash () - पासवर्ड को हैश करने के लिए उपयोग किया जाता है।
• password_verify () - हैश के खिलाफ पासवर्ड की जांच करने के लिए उपयोग किया जाता है।
• password_needs_rehash () - एक नया हैश बनाने की आवश्यकता को सत्यापित करने के लिए उपयोग किया जाता है।
• password_get_info () - हैश एल्गोरिथ्म और हैशिंग के लिए उपयोग किए जाने वाले विभिन्न मापदंडों का नाम देता है।

password_hash ()

यद्यपि क्रिप्ट () फ़ंक्शन काफी सुरक्षित है, लेकिन इसे बहुत से जटिल माना जाता है। कुछ डेवलपर्स एक कमजोर नमक और एक कमजोर एल्गोरिथ्म का उपयोग करते हैं ताकि हैश उत्पन्न किया जा सके ताकि इसके साथ गड़बड़ न हो, उदाहरण के लिए:

<?php $hash = md5($password . $salt); // works, but dangerous 

लेकिन पासवर्ड_हश () फ़ंक्शन हमें अपने जीवन को आसान बनाने और हमारे कोड को सुरक्षित करने की अनुमति देता है। जब आपको पासवर्ड हैश प्राप्त करने की आवश्यकता होती है, तो बस इस फ़ंक्शन में फ़ीड करें और यह एक हैश लौटाएगा जो डेटाबेस में संग्रहीत किया जा सकता है।

 <?php $hash = password_hash($passwod, PASSWORD_DEFAULT); 

वह सब है! पहला पैरामीटर हैशेड होने के लिए पासवर्ड स्ट्रिंग है, और दूसरा पैरामीटर एल्गोरिथ्म निर्धारित करता है जिसका उपयोग हैश उत्पन्न करने के लिए किया जाना चाहिए।

डिफ़ॉल्ट एल्गोरिथ्म, वर्तमान में, BCrypt है, लेकिन भविष्य में कभी-कभी डिफ़ॉल्ट रूप से एक मजबूत एल्गोरिथ्म स्थापित किया जा सकता है, और शायद यह बहुत अधिक तार उत्पन्न करेगा। यदि आप अपनी परियोजनाओं में PASSWORD_DEFAULT का उपयोग करते हैं, तो 60 वर्णों से बड़े कॉलम में हैश को स्टोर करना सुनिश्चित करें। कॉलम आकार को 255 पर सेट करना एक अच्छा विकल्प हो सकता है। आप PASSWORD_BCRYPT को दूसरे पैरामीटर के रूप में भी उपयोग कर सकते हैं। इस मामले में, परिणाम हमेशा 60 वर्णों का होगा।

यहां मुख्य बात यह है कि आपको नमक के मूल्य और हैश की गणना की लागत के बारे में चिंता करने की आवश्यकता नहीं है। नया API आपके लिए यह करेगा। और नमक हैश का हिस्सा है, इसलिए आपको इसे अलग से स्टोर करने की ज़रूरत नहीं है। यदि आप अपने स्वयं के नमक (या गणना की लागत) का उपयोग करना चाहते हैं, तो आप फ़ंक्शन के तीसरे तर्क को पारित करके ऐसा कर सकते हैं:

 <?php $options = [ 'salt' => custom_function_for_salt(), //write your own code to generate a suitable salt 'cost' => 12 // the default cost is 10 ]; $hash = password_hash($password, PASSWORD_DEFAULT, $options); 

इस प्रकार, आप हमेशा वर्तमान सुरक्षा उपायों के साथ बने रहेंगे। यदि बाद में PHP एक अधिक शक्तिशाली हैशिंग एल्गोरिथ्म का उपयोग करने का निर्णय लेता है, तो आपका कोड इसे अपरिवर्तित उपयोग कर सकता है।

password_verify ()

अब जब आपने देखा कि नए एपीआई के साथ हैश कैसे उत्पन्न किया जाता है, तो आइए देखें कि पासवर्ड को कैसे सत्यापित किया जाए। हम बस डेटाबेस से हैश लेते हैं, और पासवर्ड उपयोगकर्ता द्वारा दर्ज किया जाता है और उन्हें इस फ़ंक्शन में पास करता है। अगर पासवर्ड हैश निर्दिष्ट पासवर्ड से मेल खाता है तो पासवर्ड_वरिफाई () सही है ।

 <?php if (password_verify($password, $hash)) { // Success! } else { // Invalid credentials } 

नमक हैश का हिस्सा है और इसलिए हमें इससे अलग से परेशान नहीं होना है।

password_needs_rehash ()

क्या होगा यदि आपको सहेजे गए पासवर्ड के लिए नमक या गणना लागत को बदलने की आवश्यकता है? उदाहरण के लिए, आप सुरक्षा बढ़ाने और कंप्यूटिंग की लागत बढ़ाने या नमक को बदलने का निर्णय लेते हैं। या PHP ने डिफ़ॉल्ट हैशिंग एल्गोरिथ्म को बदल दिया। इन मामलों में, आप मौजूदा पासवर्ड हैश को संशोधित करना चाहेंगे। अगर पासवर्ड हैश एक विशिष्ट एल्गोरिथ्म, नमक, और गणना लागत का उपयोग करता है, तो पासवर्ड_नएड्स_रेश () फ़ंक्शन चेक करता है।

 <?php if (password_needs_rehash($hash, PASSWORD_DEFAULT, ['cost' => 12])) { // the password needs to be rehashed as it was not generated with // the current default algorithm or not created with the cost // parameter 12 $hash = password_hash($password, PASSWORD_DEFAULT, ['cost' => 12]); // don't forget to store the new hash! } 

ध्यान रखें कि उपयोगकर्ता को साइट पर लॉग इन करते समय आपको ऐसा करने की आवश्यकता होती है, क्योंकि यह एकमात्र समय है जब आपके पास उसके अनएन्क्रिप्टेड पासवर्ड तक पहुंच होती है।

password_get_info ()

Password_get_info () फ़ंक्शन एक हैश स्वीकार करता है और तीन तत्वों का एक सहयोगी सरणी देता है:

• algo - एक स्थिरांक जो एक विशेष एल्गोरिथ्म की पहचान करता है
• algoName - उपयोग किए गए एल्गोरिथम का नाम
• विकल्प - हैश उत्पन्न करने के लिए उपयोग किए जाने वाले विभिन्न विकल्प

निष्कर्ष

नया पासवर्ड हैशिंग एपीआई निश्चित रूप से क्रिप्ट () के साथ उपद्रव की तुलना में अधिक सुविधाजनक है। यदि आपकी साइट वर्तमान में PHP 5.5 चला रही है, तो मैं नए हैश एपीआई का उपयोग करने की अत्यधिक सलाह देता हूं। PHP 5.3.7 (या नए) का उपयोग करने वाले लोग पासवर्ड_काम नामक एक पुस्तकालय का उपयोग कर सकते हैं जो इस एपीआई का अनुकरण करता है और PHP संस्करण 5.5+ का उपयोग करते समय स्वचालित रूप से स्वयं को अक्षम कर देता है।

मूल।