A quanto ho capito, le password salate e di hashing sono la strada da percorrere. Capisco anche che per autenticare una password salata e hash, il sale casuale deve essere salvato. Significa che se utilizzo il seguente codice per elaborare la password:
$blowfish_salt = bin2hex(openssl_random_pseudo_bytes(22));
$hash = crypt($data, "$2a$12$".$blowfish_salt);
quindi avrei bisogno di creare una colonna nella mia tabella utenti che deve contenere il valore di $blowfish_salt?
Sono corretto nel pensare che
- Il codice sopra riportato deve essere incluso nel php che elabora il modulo di registrazione?
- Il modulo di elaborazione deve inviare il valore in $ blowfish_salt alla tabella da memorizzare accanto alla password?
- Il sale viene memorizzato così com'è - non c'è bisogno che venga elaborato / oscurato?
- Al momento dell'autenticazione, non è necessario sapere come è stato generato il sale in primo luogo?
- Se per qualche coincidenza due utenti selezionano la stessa password, il valore memorizzato salato e con hash lo renderà irrilevante?
In che modo il codice di autenticazione utilizzerà il sale? C'è un codice specifico per questo?
Ho anche trovato il seguente codice in un tutorial come metodo per prevenire SQL injection:
//this function is to guard against sql injection
function prevent($this) {
$this = stripslashes($this);
$this = mysql_real_escape_string($this);
return $this;
}
//the prevent() can be used like this on form fields to prevent sql injection
prevent($username);
prevent($password);
Devo usarlo se sto salendo e facendo l'hashing della password nel modulo di registrazione? Nessun codice dannoso potrebbe essere criptato nel processo? O mi sto perdendo qualcosa?