Mots de passe sécurisés avec PHP 5.5

I-A. L'importance de hasher les mots de passe▲

I-B. Les solutions historiques▲

$hash = md5('Mot de passe') ;

$hash = sha1('Mot de passe') ;

I-C. Bonnes pratiques▲

PHP met à disposition la fonction password_hash()Documentation pour hasher les chaînes de caractères. L'utilisation la plus simple mais non recommandée est :

$pass = 'Mot de passe' ;
$hash = password_hash($pass, PASSWORD_DEFAULT) ;

Cette utilisation est non recommandée, car non pérenne. La constante PASSWORD_DEFAULT fait référence à l'algorithme par défaut défini dans PHP, algorithme qui est susceptible de changer d'une version à l'autre. On préférera donc spécifier l'algorithme à utiliser :

$pass = 'Mot de passe' ;
$hash = password_hash($pass,PASSWORD_BCRYPT) ;

À l'heure actuelle seul PASSWORD_BCRYPT est disponible, mais d'autres pourraient faire leur apparition et être listés sur la page dédiéeListe des contantes.

Le troisième paramètre de la fonction de hash permet de spécifier des options pour l'algorithme, comme le sel ou la complexité :

$pass = 'Mot de passe' ;
$hash = password_hash($pass,PASSWORD_BCRYPT,['cost' => 13]) ;

Dans cet exemple on augmente le coût de l'algorithme le rendant par la même occasion plus lent et donc plus dur à « brute-forcer ».

Il existe également l'option « salt », qui permet de générer ses propres grains de sel. Je vous déconseille de l'utiliser, PHP génère déjà tout seul des sels aléatoires. À moins d'être un expert dans le domaine vous ne feriez que réduire la sécurité du hash.

II-A. Comment déterminer le bon coût▲

function getOptimalCost($timeTarget)
{ 
    $cost = 9;
    do {
        $cost++;
        $start = microtime(true);
        password_hash("test", PASSWORD_BCRYPT, ["cost" => $cost]);
        $end = microtime(true);
    } while (($end - $start) < $timeTarget);
    
    return $cost;
}

echo getOptimalCost(0.3);

Vous l'aurez peut-être remarqué, le hash d'une même chaîne ne donne jamais le même résultat, dans ce cas comment le comparer ?

PHP met à disposition la fonction password_verify()Documentation, pour cela :

if(password_verify('ADMIN', '$2a$10$GlvaE1qXuYE6O/ICVtPTeOf3QwE6QNB2quHgqpbK2JKzDYCNnyAL6')) {
    echo 'OK';
} else {
    echo 'ERREUR';
}

Comme il est possible de passer des options au hash, il se peut qu'au fil du temps un hash ne soit plus compatible car, par exemple, on a souhaité augmenter le coût de l'algorithme.

Il est possible pour commencer d'avoir les informations sur un hash via la fonction password_get_info()Documentation.

print_r(password_get_info($hash));

Cela affichera le type d'algorithme ainsi que les options utilisées :

Array
(
   [algo] => 1
   [algoName] => bcrypt
   [options] => Array
   (
	 [cost] => 12
   )
)

Pratique, mais il est plus simple d'utiliser directement la fonction password_needs_rehash()Documentation qui va vérifier la validité d'un hash avec les options fournies :

if (password_verify($pass, $hash)) {
    if (password_needs_rehash($hash, $algorithm, $options)) {
        $hash = password_hash($pass, $algorithm, $options);
    }
}

On peut utiliser ce test après avoir changé le coût de l'algorithme pour permettre aux utilisateurs de réinitialiser leur mot de passe de manière progressive, au fur et à mesure qu'ils accèdent au site.

Si vous ne pouvez pas encore utiliser PHP 5.5 ou que vous devez supporter plusieurs versions de PHP, tout n'est pas perdu.

Il existe de nombreuses alternatives, la plus connue étant très probablement password_compat qui implémente exactement la même API pour des versions de PHP à partir de 5.3.7

https://github.com/ircmaxell/password_compat

Plus d'excuse désormais, vous avez tous les outils nécessaires à la sécurisation de vos mots de passe et ce, même avec des versions de PHP plus anciennes.

N'oubliez pas de traiter les données sensibles de vos utilisateurs comme si c'était les vôtres.

Merci à christele_r et Bovino pour leur relecture technique ainsi qu'à f-leb pour les corrections.

26 commentaires