DoubleHash verifizieren?

[Ventus]

Hallo Community,
ich möchte gerne meine aktuelles Projekt ein wenig umbauen und mit dem WCF erweitern.

Da ich bei dem Login in mein Projekt auch die Passwörter des WCF prüfen möchte, muss ich ja prinzipiell das Passwort verifizieren.
Die Passwörter sind mit einem double salted bcrypt hash verschlüsselt.

Wären sie einfach verschlüsselt, wäre es ja mit

password_verify($password, $hash) 

getan.

Kann mir jemand erleutern, ob man mittels verify auch die double salted hashs herausfinden kann?

Gruß.

[Dormilich]

Was ist WCF? Und was soll ein double salted bcrypt hash sein?

[Ventus]

Woltlab Community Framework ist WCF

Ein DoubleSaltedHash

password_hash(password_hash($password, PASSWORD_BCRYPT), PASSWORD_BCRYPT) 

Also auf gut deutsch, 2x gehashed

[Dormilich]

Also auf gut deutsch, 2x gehashed

Da hat sich wohl jemand gedacht: Doppelt hält besser ... und es dabei gründlich vermasselt.

Da is nix zu machen, den Hash kannst du nicht verifizieren (weil du nicht mehr an das erste Salt kommst). Aber frag nochmal bei WCF nach, wie die sich das gedacht haben.

[Ventus]

Hab ich mir schon irgendwie gedacht, aber irgendwie muss das ja funktionieren, sonst würde der login bei denen auch nicht funktionieren.

Werde mich mal dorthin wenden. Gruß.

[JaMa]

https://github.com/WoltLab/WCF/blob/....php#L122-L149

[hausl]

password_hash(password_hash

Ich habe mal in einem sehr ausführlichen Artikel gelesen das sowas die Sicherheit nur vermindert, weil durch das erste Hashing die Ausgangsbasis für das zweite Hashing vermindert wurde. Fand den Artikel schlüssig finde ihn aber gerade nicht mehr.

[tomBuilder]

Steht doch wieder mal die Frage im Raum, wieso was bvesser zu machen zu versuchen, als es eine recht stabile Lösung schon geschafft hat.

eine simple iteration bringts nicht, bcrypt durchläuft desingbedingt schon mehre, die kann man hochschrauben, wenn es der rechner zulässt:
https://security.stackexchange.com/q...a256/3993#3993
https://stackoverflow.com/questions/...terations-cost


https://stackoverflow.com/questions/...ashing-it-once

Wen es interressiert.

[hausl]

Da gibts es übrigens (vermutlich eh bekannt) von PHP selbst eine FAQ/Empfehlung für sicheres Password-Hashing: http://php.net/manual/de/faq.passwords.php

[Dormilich]

https://github.com/WoltLab/WCF/blob/....php#L122-L149

Das erklärt einiges (z.B. wird daraus klar, dass zweimal der gleiche Salt verwendet wird, im Gegensatz zur Annahme in Post #3) ... und wie erschreckend wenig Ahnung von Kryptographie dort vorhanden ist.