Français
Français
Dans PHP, la fonction crypt () est un outil important pour le cryptage de hachage, qui prend en charge une variété d'algorithmes de chiffrement, y compris Blowfish (généralement exprimé en $ $ $ ) et SHA-512 (utilisés comme 6 $ ). Les deux algorithmes sont largement utilisés pour le hachage et la vérification du mot de passe, mais ils diffèrent considérablement en performances et en scénarios applicables. Cet article discutera de la comparaison des performances de Blowfish et SHA-512 dans la fonction PHP Crypt () en détail, et analysera ses avantages et ses inconvénients en fonction des exemples.
Blowfish est un algorithme de chiffrement symétrique basé sur des clés, utilisé dans PHP comme l'une des implémentations de Bcrypt, pour générer de fortes valeurs de hachage. Bcrypt est conçu pour le hachage du mot de passe, avec un facteur de coût par défaut de 10, ce qui signifie que le processus de calcul sera délibérément retardé pour éviter la fissuration par force brute.
Conçu pour les mots de passe : l'objectif de conception de Bcrypt est le hachage des mots de passe, qui peut résister aux tables arc-en-ciel et à la fissuration par force brute.
Facteur de coût réglable : En augmentant les paramètres de coût, la difficulté de hachage peut être améliorée.
Performances stables : Dans la plupart des cas, le temps d'exécution est relativement stable, ce qui aide à prévenir les attaques temporelles.
$password = 'mypassword';
$hash = crypt($password, '$2y$10$usesomesillystringforsalt$');
echo $hash;
SHA-512 est membre de la famille SHA-2 et est une fonction de hachage plus générale, principalement utilisée pour la vérification de l'intégrité des données, plutôt que spécialement conçue pour le hachage du mot de passe. Il est également pris en charge dans Crypt () de PHP, mais sa sécurité dépend de la valeur de sel et du contexte de l'application.
Vitesse rapide : SHA-512 est plus rapide à calculer que Blowfish, et convient au hachage rapide des données non passe-temps.
Standardisation de l'algorithme : Il s'agit d'un algorithme de hachage standard recommandé par NIST et est largement utilisé dans les signatures de somme de contrôle de fichiers.
Manque de contrôle du facteur de coût : Contrairement à Blowfish, le SHA-512 ne peut pas facilement régler le coût calculé.
Plus sensible aux attaques brutes-force : en raison de la vitesse de calcul rapide, il devient un risque de sécurité potentiel dans le hachage du mot de passe.
$password = 'mypassword';
$hash = crypt($password, '$6$rounds=5000$usesomesillystringforsalt$');
echo $hash;
Pour évaluer les différences de performances entre Blowfish et SHA-512, nous pouvons effectuer les tests suivants dans le même environnement de serveur:
$start = microtime(true);
crypt('mypassword', '$2y$10$usesomesillystringforsalt$');
$blowfish_time = microtime(true) - $start;
$start = microtime(true);
crypt('mypassword', '$6$rounds=5000$usesomesillystringforsalt$');
$sha512_time = microtime(true) - $start;
echo "Blowfishtemps：{$blowfish_time} Deuxième\n";
echo "SHA-512temps：{$sha512_time} Deuxième\n";
Dans l'environnement de fonctionnement PHP général, le temps d'exécution de Blowfish est généralement plusieurs fois celui de SHA-512. Bien que cette "lenteur" soit conçue (pour une sécurité améliorée), elle peut avoir un impact sur les performances lors de la gestion d'un grand nombre de demandes.
Si vous développez un système de connexion des utilisateurs, il est recommandé d'utiliser Blowfish (BCrypt) car il est conçu pour être plus sûr et a une résistance à la force brute.
Si vous n'avez besoin que d'un hachage rapide, comme une génération d'identification unique pour les données non sensibles, vous pouvez utiliser SHA-512.
Il convient de noter que à partir de PHP 5.5, il est recommandé d'utiliser Password_Hash () et Password_verify () au lieu de crypte () , afin que la logique de hachage de mot de passe puisse être gérée plus facilement et en toute sécurité.
$hash = password_hash('mypassword', PASSWORD_BCRYPT);
if (password_verify('mypassword', $hash)) {
echo 'Mot de passe correct';
}
Bien que la fonction crypte () soit toujours prise en charge et utilisée pour le hachage du mot de passe, le choix entre Blowfish et SHA-512 doit être basé sur le scénario d'application spécifique. Blowfish offre une sécurité de mot de passe plus forte, tandis que le SHA-512 est le meilleur en termes de vitesse. Dans les scénarios où la sécurité du mot de passe est nécessaire, Blowfish doit être préféré et utilisé en combinaison avec des fonctions de traitement de mot de passe PHP modernes pour assurer la sécurité et la maintenance à long terme du système.
Pour les développeurs qui utilisent le hachage de mot de passe dans les systèmes d'authentification Web, veuillez vous référer à l'URL suivante pour plus de meilleures pratiques:
https://m66.net/security/password-hashing
