Quel type de données utiliser pour le champ du mot de passe haché et quelle longueur ?

Question

Je ne suis pas sûr du fonctionnement du hachage de mot de passe (je l'implémenterai plus tard), mais je dois créer le schéma de la base de données maintenant.

Je pense limiter les mots de passe à 4-20 caractères, mais si je comprends bien, après le cryptage, la chaîne de hachage sera de longueur différente.

Alors, comment stocker ces mots de passe dans la base de données ?

Answer 1

Mise à jour : La simple utilisation d'une fonction de hachage n'est pas assez forte pour stocker les mots de passe. Vous devriez lire la réponse de Gilles sur ce fil pour une explication plus détaillée.

Pour les mots de passe, utilisez un algorithme de hachage renforçant les clés comme Bcrypt ou Argon2i. Par exemple, en PHP, utilisez la méthode Fonction password_hash() qui utilise Bcrypt par défaut.

$hash = password_hash("rasmuslerdorf", PASSWORD_DEFAULT);

Le résultat est une chaîne de 60 caractères semblable à la suivante (mais les chiffres varieront, car elle génère un sel unique).

$2y$10$.vGA1O9wmRjrwAVXD98HNOgsNpDczlqm3Jq7KnEd1rVAGv3Fykk1a

Utiliser le type de données SQL CHAR(60) pour stocker cet encodage d'un hash Bcrypt. Notez que cette fonction n'est pas codée comme une chaîne de chiffres hexadécimaux, nous ne pouvons donc pas la décomposer aussi facilement pour la stocker en binaire.

Les autres fonctions de hachage ont toujours leur utilité, mais pas pour le stockage des mots de passe. Je vais donc conserver la réponse originale ci-dessous, écrite en 2008.

---

Cela dépend de l'algorithme de hachage que vous utilisez. Le hachage produit toujours un résultat de même longueur, quelle que soit l'entrée. Il est courant de représenter le résultat du hachage binaire en texte, sous la forme d'une série de chiffres hexadécimaux. Vous pouvez également utiliser la fonction UNHEX() pour réduire de moitié une chaîne de chiffres hexadécimaux.

• MD5 génère une valeur de hachage de 128 bits. Vous pouvez utiliser CHAR(32) ou BINARY(16).
• SHA-1 génère une valeur de hachage de 160 bits. Vous pouvez utiliser CHAR(40) ou BINARY(20).
• SHA-224 génère une valeur de hachage de 224 bits. Vous pouvez utiliser CHAR(56) ou BINARY(28).
• SHA-256 génère une valeur de hachage de 256 bits. Vous pouvez utiliser CHAR(64) ou BINARY(32).
• SHA-384 génère une valeur de hachage de 384 bits. Vous pouvez utiliser CHAR(96) ou BINARY(48).
• SHA-512 génère une valeur de hachage de 512 bits. Vous pouvez utiliser CHAR(128) ou BINARY(64).
• BCrypt génère une valeur de hachage de 448 bits dépendant de l'implémentation. Vous pouvez avoir besoin de CHAR(56), CHAR(60), CHAR(76), BINARY(56) ou BINARY(60).

En 2015, le NIST recommande d'utiliser SHA-256 ou plus pour toutes les applications de fonctions de hachage nécessitant une interopérabilité. Mais le NIST ne recommande pas l'utilisation de ces fonctions de hachage simples pour le stockage sécurisé des mots de passe.

Les algorithmes de hachage de moindre importance ont leur utilité (par exemple en interne dans une application, pas pour l'échange), mais ils sont les suivants connu pour être craquable .

Answer 2

Vous pouvez en fait utiliser CHAR (longueur du hachage) pour définir votre type de données pour MySQL, car chaque algorithme de hachage donnera toujours le même nombre de caractères. Par exemple, SHA1 renvoie toujours un nombre hexadécimal de 40 caractères.

Answer 3

Vous trouverez peut-être cet article de Wikipedia sur le salage digne d'intérêt . L'idée est d'ajouter un ensemble de données pour rendre aléatoire votre valeur de hachage ; cela protégera vos mots de passe contre les attaques par dictionnaire si quelqu'un obtient un accès non autorisé aux hachages de mots de passe.

Answer 4

En tant que chaîne de longueur fixe (VARCHAR(n) ou toute autre appellation de MySQL). Un hachage a toujours une longueur fixe de 12 caractères par exemple (selon l'algorithme de hachage utilisé). Ainsi, un mot de passe de 20 caractères sera réduit à un hachage de 12 caractères, et un mot de passe de 4 caractères donnera également un hachage de 12 caractères.

Answer 5

Les hachages sont une séquence de bits (128 bits, 160 bits, 256 bits, etc., selon l'algorithme). Votre colonne doit être de type binaire, et non de type texte/caractère, si MySQL le permet (le type de données de SQL Server est binary(n) ou varbinary(n) ). Vous devez également saler les hachages. Les sels peuvent être textuels ou binaires, et vous aurez besoin d'une colonne correspondante.