如何在 postgresql 中散列密码

我问这个问题已经有一段时间了，现在我对密码理论更熟悉了，所以这里有一个更现代的方法:

推理

• 不要使用md5.不要使用单一周期的sha家族快速哈希.快速哈希有助于攻击者，所以你不希望这样.
• 使用资源密集型散列，比如bcrypt.Bcrypt经过时间考验，可扩展到future .
• 不要费心自己动手做盐，你可能会搞砸自己的安全性或便携性，依靠gen_salt()来生成每种盐都是独一无二的.
• 总的来说，不要做白痴，不要try 自己编写自己的加密程序，只使用聪明人提供的东西.

Debian/Ubuntu安装包

sudo apt-get install postgresql   // (of course)
sudo apt-get install postgresql-contrib libpq-dev   // (gets bcrypt, crypt() and gen_salt())
sudo apt-get install php5-pgsql   // (optional if you're using postgresql with php)

在数据库中的postgresql中激活crypt()和bcrypt

// Create your database first, then:
cd `pg_config --sharedir` // Move to the postgres directory that holds these scripts.
echo "create extension pgcrypto" | psql -d yOuRdATaBaSeNaMe // enable the pgcrypo extension

在查询中使用crypt()和gen_salt()

比较:通过以下内容传递到现有哈希:

select * from accounts where password_hash = crypt(:pass, password_hash);
//(note how the existing hash is used as its own individualized salt)

创建一个散列:密码和一个大的随机盐:

insert into accounts (password) values crypt(:password, gen_salt('bf', 8));
//(the 8 is the work factor)

在Php中，bcrypt散列稍微更可取

PHP5.5及以上版本中有password_*个函数，允许使用bcrypt进行简单的密码散列(大约是时候了！)，下面的版本有一个向后兼容性库.Generally尽管您可能希望确保它安装在您的服务器上，但哈希还是会退回到包装linux系统调用以降低CPU使用率.参见:https://github.com/ircmaxell/password_compat(需要php 5.3.7+)

小心伐木

请注意，使用pg_crypto，密码在从浏览器传输到php和数据库的整个过程中都是明文的.这意味着，如果不小心处理数据库日志(log)，可以从查询中记录in plaintext条日志(log).e、 g.拥有postgresql慢速查询日志(log)可以捕获并记录正在进行的登录查询中的密码.

总之

如果可以的话，可以使用php bcrypt，这样可以减少密码未被删除的时间.尽量确保你的linux系统已经安装了bcrypt，它的性能是crypt().强烈建议至少升级到PHP5.3.7+，因为php的实现在PHP5.3.0到5.3.6.9之间有一些缺陷，并且在PHP5.2.9及更低版本中，在没有警告的情况下，不适当地返回到断开的DES.

如果你想/需要postgres散列，安装bcrypt是一个不错的 Select ，因为默认安装的散列已经过时了(md5等).

以下是有关该主题的更多阅读参考:

• http://codahale.com/how-to-safely-store-a-password/
• http://www.postgresql.org/docs/9.2/static/pgcrypto.html
• https://github.com/ircmaxell/password_compat