PHP MD5ハッシュ値総当たり

PHP MD5ハッシュ値総当たりは特に何も考えず質問してしまい申し訳ありませんでした

色々な追記がある中でやりたかったことを書きます
まず、シャッフルしたmd5ハッシュ値がパスワードとして記録されているものとします
md5ハッシュ値をシャッフルした場合に、照合できないじゃないかとご指摘いただきました

パスワードとしてシャッフルされたmd5ハッシュ値を照合する仕組みを考えてみました

ユーザー側が入力したパスワードをMD5ハッシュして一文字づつ分割して配列に代入
同じ文字、文字数が何個あるかをカウント
記録されてあるシャッフルされたMD5ハッシュも同じように1文字づつ分割して代入
同じ文字、文字数が何個あるかをカウント

入力されたパスワードのMD5ハッシュと記録されているシャッフルされたMD5ハッシュと
同じ文字、文字の数が一致してるかで照合

以上になりますが、何か問題点があればご指摘ください
これらは実装するものではなく、一時的な案で考えたものになります
当方素人ですのでソースに雑い部分があると思いますがご了承下さい

追記です
パスワードをMD5で保存する為の思考ではありません
結果的にそういう形として提示しているだけで、
総当たり対策である事が目的です
完全なる興味本位です

<?php
$hit=0;
$md5_array=[];
$shuffle_md5_array=[];

$md5_string="hello";//ユーザーがパスワードにhelloと入力したと仮定
$password="09bdb97a11a44551cd769b47209c2112";//DBに記録されてるパスワードと仮定 helloをmd5ハッシュしてシャッフルしたもの

$md5_str=md5($md5_string);

$md5_string=str_split($md5_str);
foreach($md5_string as $value){
$md5_array[$value].=$value;
}
foreach($md5_array as $key => $value){
$md5_array[$key]["md5_length"]=substr_count($value,$key);
}


$shuffle_md5_string=str_split($password);
foreach($shuffle_md5_string as $value){
$shuffle_md5_array[$value].=$value;
}
foreach($shuffle_md5_array as $key => $value){
$shuffle_md5_array[$key]["md5_length"]=substr_count($value,$key);
}

foreach($md5_array as $key => $value){
if($md5_array[$key]["md5_length"]==$shuffle_md5_array[$key]["md5_length"]){$hit++;}else{$hit--;}//MD5ハッシュとシャッフル後のハッシュの判定 判定基準は同じ文字が何個あるか、同じ文字であるか
}

if($hit==count($md5_array)){//完全一致でログイン
echo "ログイン";
}else{
echo "不一致";
}
?>

AbeTakashi

2021/05/18 16:59 編集

まずお聞きしたいのが、わざわざmd5()を使ってパスワードを保存する目的はなんでしょうか？　興味本位ですかね？　わざわざmd5()を使わずともpassword_hash()を使えば安全性はそれなりに担保できると思うのですが。参考 https://www.php.net/manual/ja/function.password-hash.php https://teratail.com/questions/113248 https://qiita.com/rana_kualu/items/3ef57485be1103362f56 質問者が書かれたプログラムの安全性に関してはおそらくセキュリティのプロの方が回答を付けてくれると思うので私は何もふれませんが、パスワード保存処理を自作することは決して安全ではないと思います。ということで、繰り返しになりますが「わざわざmd5()を使ってパスワードを保存する目的」を質問文に追記頂ければと思います。おそらくその内容を加味して、セキュリティのプロの方が気の利いた回答をしてくれると思いますよ。

退会済みユーザー

2021/05/18 17:00

md5()を使ってパスワードを保存というよりも、総当たり対策的なもので、一時的に頭に浮かんだだけです完全な興味本位ですよくわからないことをよくやろうとしてるな、とむかつく方もいると思うのですがまぁ安全は無いから考えるだけ無駄って事でしょうか PS.password_hash()とかその他手法があるのは存じております

AbeTakashi

2021/05/18 17:13

なるほど、password_hash()を知っていて、今回の件は興味本位ということを回答者に知らせるのは非常に重要だと思いますよ。質問文に追記すべきだと思います。参考） https://teratail.com/help/avoid-asking 「プログラミングに関して本当に困っている人をサポートすること、また、価値のあるコンテンツを世の中に残し届けることを目的としています。」ともありますので、その辺も考慮して質問文を考えて頂くのがいいと思います。困っているのかそうでないのかは、このサイトにおいてはたぶんすごく重要です。

hoshi-takanori

2021/05/18 20:43

一文字づつ分割して配列に入れてソートしたもの同士を比べるのが簡単でしょうね。セキュリティを考える際には、どういう場面で何を守るのかを考えることが重要です。・外部からの総当たりログインの場合、回答の通り、間違ったパスワードで認証される確率が高まるので、有害・ハッシュが流出した場合に元のパスワードを知られないためには、md5 をそのまま保存するよりはちょっとだけマシかもしれませんが、ソートして比べればいいだけなので、ソルトを加える方法と比べたらほとんど無意味ということになると思います。