PHP crypt vraag

Rik schreef:

Pepper is geen officiele benaming. Het is gewwon een tweede salt.

$pepper = "&*@($)%!}{]["
$salt = "K743&jm30L-=3;/Lbhgd7"
hash(sha512, $pepper . mijnwachtwoord . $salt);

Vergeten pepper toe te voegen in de hash, wat een stomme fout.

Pepper is denk gewoon door iemand op one2xs gebruikt in Rik zijn veiligheidstopic, en daarna heeft denk ik iedereen dit zitte gebruiken hier.

Vriendje schreef:

Pepper is denk gewoon door iemand op one2xs gebruikt in Rik zijn veiligheidstopic, en daarna heeft denk ik iedereen dit zitte gebruiken hier.

Ik gebruik nooit pepper hoor. Want $pepper is gewoon een variabele voor een salt.
"pepper" als term bestaat gewoon niet.

Dat dacht ik al. Iemand gebruikte die eens op forum hier, en nu doet iedereen het. Ik vind het best wel fun. Maar ontopic: het lijkt me wel duidelijk. Maak een eigen function met paar verschillende haches en salts. Heb ik ook. Maar dan met meer haches en salts dan jij ooit zal hebben

Performance-verlies is trouwens juist goed.
Je hoeft enkel het wachtwoord te controleren bij het inloggen, dus ook al duurt dat een seconde langer dan merk je dat nauwelijks, want hoe vaak log je nou opnieuw in op een site?
Als ooit je server gekraakt wordt dan hebben mensen je script waarmee ze dus kunnen zien hoe je de wachtwoorden maakte, en als je met die code bijvoorbeeld 0,001 seconde over het maken van een hash doet, dan kun je dus alsnog gewoon bruteforcen, en kun je 1000 mogelijkheden per seconde proberen.
Als je een stukje code hebt wat er 0,1 of zelfs 1 seconde over doet om een wachtwoord in een hash om te zetten, dan kun je in het laatste geval maar 1 poging per seconde doen, en duurt het dus al 1000 keer langer om de boel te kraken.

Dus kun je beter bijvoorbeeld bcrypt nemen, daarmee bescherm je je site en je database (als die uitlekt) juist tegen bruteforce-aanvallen.

Overigens is dat dikke overkill voor als je een kleine site hebt zonder boeiende data, een md5 in een sha is ook wel veilig genoeg, maar zorg er dan wel voor dat de salt uniek is per user.

Maar hopen dat one2xs veel salts enz gebruikt

Wie weet.

Rik schreef:

Eerdere citaten tonen

Joeyl schreef:

Is pepper een alternatief voor salt?

Pepper en salt zijn precies hetzelfde. Salt is een gebruikelijke term om een willekeurige tekenreeks aan te duiden die samen met het wachtwoord gehashed wordt. "pepper" is hierbij dan een soort parodie omdat je dan Zout en Peper hebt op je maaltijd (= je wachtwoord).

Past goed bij jouw "maaltijd-conclusie".

Lennard schreef:

Wie weet.

Of Lennard heeft geen encryptie.