[268] hash_user_password()
投稿者：kit
2007/02/20 02:13:25
PHPとMySQLで掲示板を作る / 削除 / 削除系ソース
の hash_user_password() ですが、"秘密" は、
UNIX パスワードなどで使われている salt の
やり方にするのはどうですか？
つまり、"秘密" はソース埋め込みにせず、メッ
セージごとに乱数で生成することにし、salt 自体も
message表に記録しておくわけです。
今のやり方だと、仮に異なるユーザが同一のパス
ワードを利用していた場合、その事実を管理者は
知ることができるわけですが、salt を使えばその
心配もありません。
また、仮に "秘密" や salt が洩れた場合に、辞書
攻撃への耐性が若干高くなります。(salt があると、
同じ辞書は一つのメッセージにしか使えないため、
探索空間が広くなる)