PHP 5 bringt neue Password Hashing API – PHP 5.4.7 und 5.3.17 sind veröffentlicht

Kein Kommentar Autor: Jürgen (jdo)

RFC für eine einfacher benutzbare Passwort Hashing API für PHP5 wurde akzeptiert. Allerdings schreiben die Entwickler, dass der Vorschlag sehr technisch ist und man die meisten darin beschriebenen Beispiele nicht nutzen sollte – das gibt Vertrauen bezüglich Passwörtern 🙂 … Deswegen gibt es in diesem Eintrag auf github einen besseren Einblick.

Eigentlich sollte jeder Entwickler wissen, dass sie Passwörter-Hashing zusammen mit bcrypt nutzen sollen. Allerdings verwende immer noch eine überraschend große Anzahl an Entwicklern md5 oder sha1. Als Grund dafür machen die PHP-Entwickler aus, dass die crypt()-API sehr kompliziert zu benutzen sein und für Programmierfehler prädestiniert ist. Durch das Erzeugen einer neuen und einfacheren API, hofft man, dass mehr Entwickler bcrypt benutzen.

Wie man einen Password-Hash erzeugt

Die neue Methode ist sehr einfach: $hash = password_hash($password, PASSWORD_DEFAULT);

Damit erzeugst Du einen Passwort-Hash unter der Benutzung des Standard-Algorithmus (derzeit bcrypt), des Standard Load-Faktors (auch Fill-Faktor genannt, derzeit 10) und einem automatisch generiertem Salt. Wer die Standard-Werte nicht einsetzen möchte, kann Algorithmus und Load-Faktor selbst angeben: $hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);

Verifizieren von Passwörtern

Das ist genauso einfach, wie ein Passwort erzeugen. Die Entwickler geben folgendes beispiel dafür an:

<?php
// $password from user, $hash from database
if (password_verify($password, $hash)) {
    // password valid!
} else {
    // wrong password :(
}

Salt und Algorithmus sind Teil des Hash und Du musst diese nicht separat angeben.

Rehashing Passwörter

Mit fortlaufender Zeit möchte man vielleicht den Passwort-Hash-Algorithmus der Load-Faktor ändern – denkbar ist auch, dass PHP die Standards ändert. In diesem Fall sollten neue Konten mit den neuen Optionen erzeugt und existierende Passwörter beim Anmeldevorgang der neuen Prozedur ebenfalls unterzogen werden. Dies funktioniert nur beim Anmelden, da man das existierende Passwort für einen Rehash benötigt. Als Fallbeispiel zeigen die Entwickler das so:

<?php
function password_verify_with_rehash($password, $hash) {
    if (!password_verify($password, $hash)) {
        return false;
    }

    if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
        $hash = password_hash($password, PASSWORD_DEFAULT);

        // update hash in database
    }

    return true;
}

Das obige Codeschnippsel hält die Hashes auf dem neuesten Stand mit dem PHP-Standard. Natürlich lassen sich auch hier eigene Optionen, wie weiter oben beschrieben, anwenden.

Die API wird in PHP 5.5 einließen. Entwickler können aber schon eine PHP-Implementierung der selben API verwenden. Sobald ein Upgrade auf PHP 5.5 erfolgt, wird sich diese API selbst deaktivieren und die vorhandene in 5.5 verwenden.

PHP 5.4.7 und 5.3.17

Und weil wir schon bei PHP sind: PHP 5.4.7 und 5.3.17 wurden gestern ausgegeben. Diese Versionen bessern insgesamt 20 Bugs aus. Detaillierte Informationen gibt es in den entsprechenden Changelogs. Den Quellcode findest Du wie immer im Download-Bereich der Projektseite und Binärdateien für Windows gibt es hier.