【Kivy】ハッシュ化されたパスワードを用いたパスワードの照合方法

Question

実現したいこと

Windowsで動くPythonで平文のパスワードと暗号化されたパスワードの照合を行いたいです。
cryptモジュールを使わないパスワードの照合する方法を教えてください！

前提

PHPで動いでいるWebアプリにて、次のようなコードでパスワードをハッシュ化してDBに保存・照合を行っています。

    public function get_hashed_password($password)
    {
        // コストパラメーター
        // 04 から 31 までの範囲 大きくなれば堅牢になりますが、システムに負荷がかかります。
        $cost = 10;

        // ランダムな文字列を生成します。
        $salt = strtr(base64_encode(random_bytes(16)), '+', '.');

        // ソルトを生成します。
        $salt = sprintf("$2y$%02d$", $cost) . $salt;

        $hash = crypt($password, $salt);

        return $hash;
    }


    // パスワードが一致したらtrueを返します
    public function check_password($password, $hashed_password)
    {
        if (hash_equals($hashed_password, crypt($password, $hashed_password))) {
            return true;
    }
}

今回、登録されたユーザデータを用いて、Kivyのスマホアプリでもログイン機能を実装しようと思い、
いろいろ試してみました。

認証の流れ

１．usernameとパスワードを入力してもらう

２．usernameに登録された、暗号化されたパスワードを自作WebAPIから入手する

３．暗号化されたパスワードと入力された平文のパスワードを照合する

しかし、３．の手順で必要なcryptモジュールがWindowsでは使用できないようです。

該当のソースコード

import hmac
import crypt
#省略

    def check(self):
        username = self.ids['username']  #usernameWidget
        password = self.ids['password']   #passwordWidget
        if username.text != '' and password.text != '':
            url = "http://192.168.11.69/api/get_id_password.php"+'?username='+username.text
            json_data = requests.get(url)   #ユーザネームから暗号化されたパスワードの入手
            #ここで照合
            if( hmac.compare_digest(crypt.crypt(password.text,json_data.json()['password']), json_data.json()['password']) ): 
                self.ids['error'].text = json_data.json()['password']
            else:
                self.ids['error'].text = ('メールアドレスまたは、パスワードが間違っています．')
        else:
            self.ids['error'].text = ('メールアドレスまたは、パスワードが入力されていません．')

発生している問題・エラーメッセージ

ImportError: The crypt module is not supported on Windows

補足情報（FW/ツールのバージョンなど）

Python 3.10.9
Kivy (バージョン不明)

Answer 1

crypt --- Unix パスワードをチェックするための関数

バージョン 3.11 で非推奨、バージョン 3.13 で削除予定: The crypt module is deprecated (see PEP 594 for details and alternatives). The hashlib module is a potential replacement for certain use cases.

とのことで、いずれ削除される予定ですしhashlibを使うとよいかと思います。

Comments

[saitou_san]

hashlibで照合に成功しました。ありがとうございます。
追加で質問なんですが、
from passlib.context import CryptContext
pwt_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
#省略
if pwt_context.verify(input_password, hashed_password):
#省略
で照合した場合、タイミング攻撃対策はできているのでしょうか？

[8524ba23]

セキュリティについては疎いので分かりません。
その疑問について新たに質問を立てることをおすすめします。
適切な回答が得られると思います。