PHPのpassword_hash()関数を使ってパスワードを安全にハッシュ化・ソルト化する

2024-07-27

PHPパスワードの安全なハッシュとソルト

さらに、ハッシュ化処理にランダムな文字列であるソルトを追加することで、パスワードの安全性をさらに高めることができます。ソルトを追加することで、同じパスワードでも異なるハッシュ値が生成されるため、レインボーテーブル攻撃などの攻撃を防ぐことができます。

PHPでパスワードを安全にハッシュ化する方法

PHPでパスワードを安全にハッシュ化するには、password_hash() 関数を使用します。この関数は、パスワードをハッシュ化し、ソルトを含めたハッシュ値を生成します。

<?php

$password = 'password123';
$hashedPassword = password_hash($password, PASSWORD_BCRYPT);

echo $hashedPassword;

?>

password_hash() 関数の第一引数には、ハッシュ化するパスワードを指定します。第二引数には、使用するハッシュアルゴリズムを指定します。PASSWORD_BCRYPT は、現在最も安全なハッシュアルゴリズムの一つです。

password_hash() 関数は、パスワードとソルトを含めたハッシュ値を返します。このハッシュ値は、データベースなどに保存します。

パスワードの検証

ユーザーがログインを試行した際には、入力されたパスワードとデータベースに保存されているハッシュ値を比較する必要があります。

<?php

$password = 'password123';
$hashedPassword = '$2y$10$abcdefghijklmnopqrstuvwxyz';

if (password_verify($password, $hashedPassword)) {
  echo 'ログイン成功';
} else {
  echo 'ログイン失敗';
}

?>

password_verify() 関数の第一引数には、検証するパスワードを指定します。第二引数には、データベースに保存されているハッシュ値を指定します。

password_verify() 関数は、パスワードとハッシュ値が一致すれば true を、一致しなければ false を返します。

ソルトの生成

password_hash() 関数は、デフォルトでランダムなソルトを生成します。ただし、独自のソルトを生成することも可能です。

<?php

$salt = base64_encode(openssl_random_pseudo_bytes(16));

?>

openssl_random_pseudo_bytes() 関数は、ランダムなバイト列を生成します。base64_encode() 関数は、バイト列を Base64 エンコードされた文字列に変換します。

生成したソルトは、データベースなどに保存する必要があります。

<?php

// パスワードとソルト
$password = 'password123';
$salt = base64_encode(openssl_random_pseudo_bytes(16));

// パスワードのハッシュ化
$hashedPassword = password_hash($password, PASSWORD_BCRYPT, ['salt' => $salt]);

// ハッシュ値とソルトの保存
// ...

// ログイン時のパスワード検証
$password = 'password123';

if (password_verify($password, $hashedPassword)) {
  echo 'ログイン成功';
} else {
  echo 'ログイン失敗';
}

?>

パスワードとソルトを生成します。
パスワードをハッシュ化します。
ハッシュ値とソルトを保存します。
ログイン時のパスワード検証を行います。

crypt() 関数

crypt() 関数は、伝統的なパスワードハッシュ化関数です。password_hash() 関数ほど安全ではありませんが、古いシステムとの互換性が必要な場合などに使用できます。

<?php

$password = 'password123';
$hashedPassword = crypt($password, '$6$rounds=10$abcdefghijklmnopqrstuvwxyz');

echo $hashedPassword;

?>

PBKDF2 アルゴリズム

PBKDF2 (Password-Based Key Derivation Function 2) は、パスワードからキーを生成するためのアルゴリズムです。パスワードハッシュ化にも使用できます。

<?php

$password = 'password123';
$salt = base64_encode(openssl_random_pseudo_bytes(16));
$hashedPassword = hash_pbkdf2('sha512', $password, $salt, 10000, 64);

echo $hashedPassword;

?>

Argon2 アルゴリズム

Argon2 は、PBKDF2 よりも新しいパスワードハッシュ化アルゴリズムです。より安全で、並列処理にも対応しています。

<?php

$password = 'password123';
$salt = base64_encode(openssl_random_pseudo_bytes(16));
$hashedPassword = password_hash($password, PASSWORD_ARGON2I, ['salt' => $salt]);

echo $hashedPassword;

?>