don’t crypt password with mysql functions

Au début ça me paraissait une bonne idée, de déléguer le cryptage des mots de passe à mysql. Mais, non. Et c’est normal. Quoique.

Le cryptage doit bien sûr être asymétrique, genre md5 ou sha1, pour ne pas stocker de passe qui soit décryptable, juste stocker un hash qui valide un mot de passe. (select * from user where md5(“‘.$_POST[“pw”].'”)=passmd5) (oui, un petit coup d’électricité de rappel d’injection sql)

par contre la fonction password c’est juste une combinaison de deux sha1 (!!!)

https://unix.stackexchange.com/questions/44883/encrypt-a-password-the-same-way-mysql-does

python -c 'from hashlib import sha1; print "*" + sha1(sha1("right").digest()).hexdigest().upper()'
 
perl -MDigest::SHA1=sha1_hex -MDigest::SHA1=sha1 -le 'print "*". uc sha1_hex(sha1("right"))'
 
php -r 'echo "*" . strtoupper(sha1(sha1("right", TRUE))). "\n";'

 

Et donc 1 : ya pas de salt

mais bon, les gens ont la curieuse idée de stocker le salt avec le code, $X$salt$code$ = utilise le protocole X avec le salt en paramètre. Un peu comme de noter l’adresse et le digicode sur son porte clé. ou le code de CB. bref..

L’autre truc c’est que c’est pas random. password(‘toto’) donnera toujours la même chose. Et ce serait mieux qu’il donne à chaque fois des valeurs différentes. Le seul moyen de tester serait de le passer à la fonction de vérification pass_verif(pass saisi, contenu de la base).

C’est fourni par le vieux code crypt(), ou le nouveau http://php.net/manual/fr/function.password-verify.php , ou le code alternatif https://github.com/ircmaxell/password_compat/blob/master/lib/password.php , or shorter https://gist.github.com/odan/1d4ff4c4088e906a5a49

 

function create_password_hash($strPassword, $numAlgo = 1, $arrOptions = array())
{
if (function_exists('password_hash')) return(password_hash($strPassword, $numAlgo, $arrOptions));
$salt = mcrypt_create_iv(22, MCRYPT_DEV_URANDOM);
$salt = str_replace('+', '.', base64_encode($salt));
return(crypt($strPassword, '$2y$10$' . $salt . '$'));
}
function verify_password_hash($strPassword, $strHash)
{
if (function_exists('password_verify')) return(password_verify($strPassword, $strHash));
$strHash2 = crypt($strPassword, $strHash);
return( $strHash == $strHash2);
}
//TEST: $strHash = create_password_hash("secret", PASSWORD_DEFAULT);echo $strHash . "\n";
//echo (verify_password_hash('secret', $strHash)) ? 'Password is valid!':'Invalid password.';

Un jour il pourrait y avoir un portage de crypt() dans mysql .
Mais il n’y est pas, exprès, pour éviter de trop transporter un mot de passe non crypté, ce qui multiplierait les risques de sniff (snif!).

(merci Laurent)

Pocket