DBのテーブル上に保存された暗号化されているパスワードを変更する方法

Question

こんにちは。
現在下記の環境を使って、ユーザーの新規登録/ログイン機能が付随する簡単な
ウェブアプリケーションを作成しています。
当方の環境は以下です

・PHP7.1.4
・cakePHP2.3
・Apatch2.4.6
・MySQL

その上で、ユーザーのログイン情報（ユーザー名、メールアドレス、パスワード）を
保存するUSERテーブルがあるのですが、パスワードはウェブアプリケーションから
DBに保存する際、cakePHPのBlowfishPasswordHasher()でハッシュ化して保存しています

その上で、やりたいこととしましては、管理者(私)がDB上の上記ハッシュ化されたパスワードを
MySQLコマンドなどで直接、ハッシュ化した上で書き換えるということをやりたいです。

BlowfishPasswordHasher()でハッシュ化を行っているため、ここの部分と
MySQL側のハッシュ化の仕様を一致させる方法ではないとダメかなと考えており
色々方法を探って入るのですが、見つからないためご教授いただきたいと思います。

よろしくお願いいたします。

Comments

[shi_ue]

CakePHP 2.3 にはBlowfishPasswordHasherクラスがありません。2.4以降の誤りではないでしょうか？

Answer 1

んー、たぶんパスワード忘れた人用にパスワードの再設定をするんでしょうか？

なのであれば、救済プログラムを別途作ってあげたほうがよいようなきがします。

DB定義がどうなっているのかわかりませんが、
たとえば
update users set password = "ハッシュ化されたパスワード" where userId = "忘れた人のユーザーID";

passwordに新しいハッシュ化されたパスワードをBlowfishPasswordHasherつかって突っ込んでやればよいのではないでしょうか。

見当違いでしたらごめんなさい。

Comments

[keita0236]

コメントありがとうございます！
意図としましては、パスワード再設定ではないのですが、ちょっと複雑なのでご説明が難しいです。。。現在のログインを呼んでいるプログラムの設計がそもそも悪いのですが、とりあえず既存のDB上にあるハッシュ化されたパスワードを管理者側でSQL直打ちで別の文字列をハッシュ化した上で上書きということをしたいと考えています。

Answer 2

質問の意図がわかりかねるのですが、すでにハッシュ化されているものでも
管理者が好きに再暗号化するのはかまわないのでは？
そもそも暗号データは複合するのを目的としていないので
同じ手順で暗号化した文字列と比較して合致すればいいだけなので

Comments

[keita0236]

伝わりづらく申し訳ないです。
既にDB上に保存されているハッシュ化されたパスワードを、管理者側で再度別の文字列を暗号化したものにして保存したいという内容になります。
例としましては、

現在、abcdefgがDB上にハッシュ化されて保存されている
↓
SQLを叩くなどしてjmptwyzという文字列をハッシュ化して上記パスワードを書き換えたい
※ハッシュ化されているとはいえ、abcdefgが容易なパスワードなので。

上記の方法がわからず、困っているという状態です

Answer 3

せっかくPHPのタグが付いてますから、PHP的解決策を書きたいと思います。
CakePHPのソースを見て同じような実装で行きたいと思います。
openssl_random_pseudo_bytes関数を使っているので、opensslが利用可能である必要があります。

crypt.phpというファイル名とします。

<?php
// crypt.php
if (!isset($argv[1])) {
	echo "使い方：php crypt.php パスワード [salt]\n";
	exit;
}
$password = $argv[1];

if (!isset($argv[2])) {
	$salt = '$2a$10$' . str_replace(array('+', '='), '.',
		base64_encode(sha1(uniqid(openssl_random_pseudo_bytes(40), true), true)));
}
else {
	$salt = $argv[2];
}

echo crypt($password, $salt) . "\n";
```これをシェルから

$ php crypt.php hogehoge

これをコピーして、mysqlで利用すればいいと思います。

Comments

[keita0236]

求めていた答えに一番近かったので、こちらをBAとさせていただきます！ありがとうございました

Answer 4

同じようなことをCでUDFを作成して実現した方がいるようです

Password Hashing の MariaDB/MySQL ユーザー定義関数 (UDF) を作ってみた

Answer 5

MySQL の標準では blowfish 暗号化をサポートしていませんので、そのままではできません。

1. ほかのツール（PHPなど）で blowfish ハッシュ値を計算しておいて使う
2. MySQL のユーザー定義関数で blowfish ハッシュ値計算を行う関数を作っておいて、それを使う

のどちらかになるでしょうかね。