sha1とpassword_hashについて

Question

前提・実現したいこと

sha1でパスワード認証をしているのですがあまり良くないと見たのですがどう思いますか？
password_hashに書き換えるならば今のコードを大幅に変更することになりますか？

該当のソースコード

<?php
session_start();
require('dbconnect.php');

if(!isset($_SESSION['join'])){
  header('Location: index.php');
  exit();
}

if($_SERVER['REQUEST_METHOD'] == 'POST'){
  //登録処理をする
  $sql = sprintf('INSERT INTO users SET name="%s", mail="%s", pass="%s"',
          mysqli_real_escape_string($db, $_SESSION['join']['name']),
          mysqli_real_escape_string($db, $_SESSION['join']['mail']),
          mysqli_real_escape_string($db, sha1($_SESSION['join']['pass']))
  );
  mysqli_query($db, $sql) or die(mysqli_error($db));
  unset($_SESSION['join']);

  header('Location: regist.php');
  exit();
}

?>

Answer 1

sha1でパスワード認証をしているのですがあまり良くないと見たのですがどう思いますか？

はい、単純なsha1では、ハッシュ値ともとの値の対応表もありますので、簡単なパスワードなら容易に特定できてしまいます。

とはいえ、いきなりパスワードの仕組みを変えると、過去の全ユーザーがログインできなくなってしまいますので、切り替えには考慮が必要です。

Comments

[maisumakun]

PHPのヘルプページにも「警告 パスワードを守るためにこの関数を使うことはおすすめしません。 」と明記されていました。

https://www.php.net/manual/ja/function.sha1.php

[yuki911]

ハッシュ値と元の値の対応表があるんですね
ユーザーのことも考えないといけないんですね
ありがとうございます

Answer 2

sha1でパスワード認証をしているのですがあまり良くないと見たのですがどう思いますか？

現在のコードだと、「リスト型攻撃」に対して完全に無防備 です。

password_hashに書き換えるならば今のコードを大幅に変更することになりますか？

修正箇所が１箇所なら大した手間ではないが、sha1とはいえハッシュ化された値を、コンバートするのは困難なので、ユーザー全員に対して新たにパスワードを再設定することを促さなければいけません。

Comments

[yuki911]

リスト型攻撃のことも考慮します。
今はサービスを展開していなくユーザーがいない状態です
その場合は全員に対して再設定させなくても大丈夫ですよね？
password_hashにする場合今のコードを全部消さなくてはいけませんか？

[退会済みユーザー]

> password_hashにする場合今のコードを全部消さなくてはいけませんか？
必要なところだけでいいんじゃないですか？

[yuki911]

password_hashを定義してsha1のところを変えればいいですか？
よければアドバイスもらえると嬉しいです

[退会済みユーザー]

アドバイスといわれても、何がわからないのか伝えてくれないと、教えようがありませんよ。

[yuki911]

すみません
sha1をpassword＿hashにする方法が知りたいです

[退会済みユーザー]

とりあえず、マニュアルは読んだのかい？
このサイトでは、丸投げは非推奨の質問ということになっているので、コードを書いてはいよ！って渡すのは気が引けるわけです。
可能な限りの努力が見える質問をしてくださいませんか？