Požadavek #848
Aktualizováno uživatelem Ondřej Fibich před více než 10 roky(ů)
Přidání soli do hashů hesel uživatelů proti Rainbow table attack.
Nutná změna všech částí, které s heslem pracují, se zachování fungování pro stávající hesla.
Vyřeší problém pro nové nasazení FN a uživatele, kteří si změní heslo/budou přidáni do nové .
Problém je co zvolit jako sůl. Obvykle se volí přihlašovací jméno, to se u nás ale mění.
Nabízí se použít ID uživatele v kombinaci s member ID, ty jsou neměnné.
h3. Postup přihlášení
# odesláno: pepa password
# zjistím ID ($mid, $uid) a hash hesla ($password) pro pepa v DB
# if (hash_hmac('sha256', 'password', $mid . '-' . $uid) == $password) { přihlášen } else { proces starého přihlášení s SHA-1/MD5 hashem }
Je možné taky vybírat způsob přihlášení dle délky hashe.