Welk paswoord systeem kiezen / veranderen

Een hash van SHA-512 is redelijk sterk, maar het systeem wordt als geheel veiliger wanneer je er wat zout aan toevoegt:

<?php
$salt = bin2hex(openssl_random_pseudo_bytes(10));
$pw = hash('sha512', $pw . $salt);
?>

De salt (hier met een vaste lengte van 20 karakters) kun je leesbaar opslaan bij de hash van het wachtwoord.

En als je wil dat het allemaal automatisch gaat, dan gebruik je deze:

http://php.net/manual/en/function.password-hash.php

Bedankt beiden. Ik had ozzie zijn link ook al gevonden maar wachte nog even af.

De vraag blijft. wanneer wijzigen jullie het systeem.
Als het gekraakt is!
Als sites vermelden dat het niet lang meer zal duren
…

Jan

>> Als sites vermelden dat het niet lang meer zal duren

Wat bedoel je precies??

Veiligheid van een website is een geheel aan maatregelen, en op sommige heb je niet eens invloed.

De versleuteling van je wachtwoord is slechts één van deze dingen, en draagt in zekere zin helemaal niets / niet zoveel bij aan de algehele veiligheid.

Deze data zitten immers (doorgaans, ga ik hier ook van uit) in je database. Op het moment dat een onbevoegde er in slaagt om toegang te verkrijgen tot je systeem en/of je database dan houdt dat in dat er ergens anders al iets gruwelijk fout is gegaan.

+1 voor Thomas

Wat Thomas zegt klopt, maar uiteraard moet je gewoon wel een veilige hashing-methode kiezen. Als je een bunker wil beveiligen, zet je er ook geen klein lullig 3-cijferig cijferslotje op. En tegelijkertijd geldt natuurlijk ook, dat je niet ergens het raam open moet laten staan.

Het "cijferslot" (EDIT: of liever gezegd) de cijfercode is in deze beeldspraak nog steeds het daadwerkelijke wachtwoord, de hashing-methode doet er echt niet toe.

Je kunt SHA512 met een salt gebruiken, maar als je wachtwoord "welkom" is of wanneer je deze met een memo aan je monitor plakt omdat deze wel moeilijk te onthouden is gaat je dat echt niet redden.

Hashing van het wachtwoord is enkel bedoeld om het wachtwoord geheim te houden zodat de site/applicatie deze niet kent. Het dient verder geen enkel doel en beschermt een loginmechanisme verder op geen enkele manier...

Pretty much this:
https://www.youtube.com/watch?v=a6iW-8xPw3k

Je cijferslot kan dan onverwoestbaar zijn, maar als de code bagger is is dit nog steeds nutteloos.

Is er ergens een lijstje met stappen die je kunt volgen om de boel dicht te timmeren? Zou wel handig kunnen zijn toch?

>> Je kunt SHA512 met een salt gebruiken, maar als je wachtwoord "welkom" is of wanneer je deze met een memo aan je monitor plakt omdat deze wel moeilijk te onthouden is gaat je dat echt niet redden.

Klopt, maar niemand ontkent dat toch? Je zult beiden moeten doen. Tegen een gebruiker die z'n wachtwoord op een spandoek laat afdrukken en achter een vliegtuig hangt is niemand opgewassen. Maar dat spreekt voor zich. Dat wil niet zeggen dat je je hashing gewoon op orde moet hebben.