[PHP] Is dit veilig genoeg

Alexnder schreef:

Maar zoals ik het bij mij doe
via str_replace (de hash weer aanpassen dan kan die ook bijna niet meer gevonden worden toch?)
dan moet je eerst de str_replace weten en die staan in een php bestand alleen te vinden dus via host dus dat is opzich ook wel veilig?

Dat is Security through obscurity. Je gaat er dan vanuit dat ze niet bij de PHP bestanden kunnen. Of niet weten hoe je aan het hashen bent.

Uiteraard, dit is bij user-specifieke salts ook, maar op een andere manier. Met user-speciefieke salts (in combinatie met een centrale salt uiteraard), kan er niet simpel met een rainbow table gebruteforced worden.

Mijn wachtwoord "lol" is dan namelijk totaal anders dan jouw wachtwoord "lol". In de database (mocht een hacker deze hebben) staan er dus geen dubbele hashes. De hacker zal dan dus uitermate veel moeite moeten doen om achter een wachtwoord te kunnen komen.

Bovendien moet de hacker dan zowel toegang tot de database als toegang tot het PHP bestand hebben. En dan moet ie nog maar uitzoeken hoe het allemaal gehashed zit.

Je moet gewoon van het ergste uitgaan, en in dit geval is dat dus dat de hacker je database en je PHP code heeft.
Je moet dus zorgen dat hij dan, ZELFS dan, nog zo lang mogelijk bezig is met het vinden van een wachtwoord. En dat is niet zo als hij 70.000 mogelijke wachtwoorden per seconde kan vinden en dat is ook niet zo als per gebruiker de salt hetzelfde is.