Cara mengenkripsi dan mendekripsi kata sandi di php menggunakan hash

Beberapa tahun yang lalu saya menghadiri Laracon EU di mana Marcus Bointon memberikan ceramah hebat tentang Crypto dalam PHP 7. 2. Saya meninggalkan pembicaraan dengan apresiasi yang jauh lebih besar untuk betapa rumitnya kriptografi, tetapi juga untuk bagaimana PHP membuat enkripsi lebih mudah diakses berkat pengenalan Sodium. Enkripsi data dalam PHP sangat penting untuk pekerjaan saya di SpinupWP, panel kontrol server berbasis cloud dengan akses root ke ribuan server dan situs, dan saya pikir akan berguna untuk membagikan apa yang telah saya pelajari sejak saat itu. Bersiaplah, karena ini bisa menjadi perjalanan yang bergelombang

Jenis Enkripsi

Ada berbagai metode enkripsi berbeda yang digunakan saat ini, yang paling umum adalah hashing, enkripsi kunci rahasia, dan enkripsi amplop. Selain itu, setiap metode enkripsi memiliki banyak algoritme atau cipher untuk dipilih (masing-masing dengan kekuatan dan kelemahannya sendiri). Pada artikel ini, kita akan melihat penerapan ketiga metode enkripsi

Hashing

Algoritme hashing mengambil nilai input dan mengubahnya menjadi output dengan panjang tetap yang dikenal sebagai "pencernaan pesan", "nilai hash", atau sekadar "hash". Hashing adalah satu cara saja, yang berarti bahwa satu-satunya cara untuk memvalidasi keluaran hash adalah meneruskan nilai asli ke algoritme hashing dan membandingkan hasilnya. Ini membuat hashing sempurna untuk menyimpan kata sandi pengguna

Perlu dicatat bahwa hashing bukanlah solusi antipeluru dan tidak semua algoritme hashing sama. Pertimbangkan MD5 dan SHA1 yang cepat dan efisien, menjadikannya ideal untuk checksumming dan verifikasi file. Namun, kecepatannya membuat mereka tidak cocok untuk hashing kata sandi pengguna

Dengan kekuatan komputasi CPU/GPU modern dan komputasi awan saat ini, kata sandi yang di-hash dapat diretas dengan kekerasan dalam hitungan menit. Ini cukup sepele untuk dengan cepat menghasilkan miliaran hash MD5 dari kata-kata acak hingga ditemukan kecocokan, sehingga mengungkap kata sandi teks biasa asli. Sebagai gantinya, algoritma hashing yang lebih lambat seperti bcrypt atau Argon2 harus digunakan

Sementara kata sandi hash yang dihasilkan oleh algoritme apa pun pasti akan mengaburkan data asli dan memperlambat calon penyerang, kami sebagai pengembang harus berusaha untuk menggunakan algoritme terkuat yang tersedia. Untungnya, PHP membuatnya mudah berkat

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

$hash = password_hash($password, PASSWORD_DEFAULT);

Fungsi

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Dimungkinkan untuk menggunakan Argon2 atau Argon2id, jika versi PHP Anda telah dikompilasi dengan dukungan Argon2, dengan meneruskan konstanta

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Memverifikasi kata sandi pengguna juga merupakan proses yang sepele berkat fungsi

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

Perhatikan bagaimana verifikasi kata sandi dilakukan di PHP. Jika Anda menyimpan kredensial pengguna dalam basis data, Anda mungkin cenderung melakukan hash kata sandi yang dimasukkan saat masuk dan kemudian melakukan kueri SQL basis data, seperti itu

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

Pendekatan ini rentan terhadap serangan saluran samping dan harus dihindari. Alih-alih, kembalikan pengguna lalu periksa hash kata sandi di PHP

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

if (password_verify($user->password, $hash)) {
    echo "Let me in, I'm genuine!";
}

Meskipun hashing bagus untuk mengenkripsi kata sandi, itu tidak berfungsi untuk data arbitrer yang perlu diakses aplikasi kita tanpa campur tangan pengguna. Mari pertimbangkan aplikasi penagihan, yang mengenkripsi informasi kartu kredit pengguna, biasanya disimpan dari formulir HTML. (Mengingat persyaratan kepatuhan hukum dan PCI yang terkait, kami tidak menyarankan untuk membuat aplikasi penagihan Anda sendiri, tetapi gunakan sesuatu seperti Stripe. Kami hanya menggunakan ini sebagai contoh). Setiap bulan aplikasi kami harus menagih pengguna untuk penggunaan bulan sebelumnya. Hashing data kartu kredit tidak akan berfungsi karena aplikasi kami harus dapat mendekripsi data hash yang, seperti yang kami tunjukkan sebelumnya, tidak mungkin dilakukan dengan hashing

Enkripsi kunci rahasia untuk menyelamatkan

Enkripsi Kunci Rahasia

Enkripsi kunci rahasia (atau enkripsi simetris seperti yang juga dikenal) menggunakan satu kunci untuk mengenkripsi dan mendekripsi data. Di masa lalu PHP mengandalkan mcrypt dan openssl untuk enkripsi kunci rahasia. PHP 7. 2 memperkenalkan Sodium, yang lebih modern dan secara luas dianggap lebih aman. Jika Anda menjalankan versi PHP yang lebih lama, Anda dapat menginstal Sodium melalui Perpustakaan Komunitas Ekstensi PHP alias PECL

Untuk mengenkripsi nilai, pertama-tama Anda memerlukan kunci enkripsi, yang dapat dibuat menggunakan fungsi

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

$key = sodium_crypto_secretbox_keygen();

Anda juga dapat menggunakan fungsi

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

$key = random_bytes( SODIUM_CRYPTO_SECRETBOX_KEYBYTES );

Either way, Anda biasanya hanya akan melakukan ini sekali dan menyimpan hasilnya sebagai variabel lingkungan. Ingatlah bahwa kunci ini harus dirahasiakan dengan cara apa pun. Jika kuncinya pernah dikompromikan, data apa pun juga dienkripsi dengan menggunakannya

Untuk mengenkripsi nilai asli, teruskan ke fungsi

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

if (password_verify($password, $hash)) {
    echo "Let me in, I'm genuine!";
}

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

$nonce = random_bytes( SODIUM_CRYPTO_SECRETBOX_NONCEBYTES );
$encrypted_result = sodium_crypto_secretbox( 'This is a secret!', $nonce, $key );

Ini menimbulkan masalah karena kita membutuhkan nonce untuk mendekripsi nilainya nanti. Untungnya, nonce tidak harus dirahasiakan sehingga kita dapat menambahkannya ke

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

$encoded = base64_encode( $nonce . $encrypted_result );

Ini akan membuat string yang disandikan base64 dengan panjang 76 karakter

Saat mendekripsi nilai, lakukan sebaliknya, dimulai dengan mendekode string yang disandikan base64

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Karena kita mengetahui panjang nonce (

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Itu semua yang ada untuk enkripsi kunci rahasia di PHP, terima kasih kepada Sodium

Enkripsi Amplop

Sementara pendekatan yang diuraikan di atas tentu saja merupakan langkah ke arah yang benar, itu masih membuat data kita rentan jika kunci rahasia disusupi. Mari pertimbangkan pengguna jahat yang mendapatkan akses ke server yang menghosting aplikasi kita. Mereka tidak akan berkeliaran di server untuk mendekripsi data sensitif apa pun. Sebaliknya, mereka akan membuat salinan data dan semua file yang relevan ke infrastruktur mereka sendiri dan bekerja untuk menemukan kunci rahasia kami yang kami gunakan untuk mengenkripsi data. Ini membuat data kami benar-benar terbuka

Solusi sederhananya adalah tidak menyimpan kunci rahasia kita di lokasi yang sama dengan data terenkripsi, tetapi ini menimbulkan masalah. Bagaimana kami mengenkripsi dan mendekripsi sesuai permintaan? . Perusahaan yang menawarkan infrastruktur cloud seperti AWS dan Google masing-masing memiliki penawarannya sendiri. Sebagai tutorial singkat, kami akan berfokus pada Cloud KMS Google

KMS Google Cloud

Cloud KMS adalah layanan yang disediakan oleh Google untuk menghosting kunci kriptografi dengan aman. Ini menyediakan berbagai fitur berguna seputar penyimpanan kunci, termasuk rotasi kunci otomatis dan penghancuran kunci tertunda. Namun, kami terutama memperhatikan penyimpanan kunci rahasia kami secara terpisah dari aplikasi kami

Untuk membuatnya lebih aman, kami akan menggunakan teknik yang dikenal sebagai enkripsi amplop. Pada dasarnya, enkripsi amplop melibatkan enkripsi kunci dengan kunci lain. Kami melakukan ini karena dua alasan

1. Cloud KMS memiliki batas ukuran 64 KiB pada data yang dapat dienkripsi dan didekripsi. Oleh karena itu, mungkin tidak mungkin mengirim semua data sekaligus
2. Lebih penting lagi, kami tidak ingin mengirim data teks biasa sensitif kami ke pihak ketiga, terlepas dari seberapa tepercaya data tersebut

Alih-alih mengirimkan data teks biasa kami ke Cloud KMS, kami akan membuat kunci enkripsi unik setiap kali kami menulis data sensitif ke database. Kunci ini dikenal sebagai kunci enkripsi data (DEK), yang akan digunakan untuk mengenkripsi data kita. DEK kemudian dikirim ke Cloud KMS untuk dienkripsi, yang mengembalikan kunci-kunci enkripsi (dikenal sebagai KEK). Terakhir, KEK disimpan berdampingan di database di sebelah data terenkripsi dan DEK dihancurkan. Prosesnya terlihat seperti itu

1. Hasilkan kunci enkripsi data (DEK)
2. Enkripsi data menggunakan enkripsi kunci rahasia
3. Kirim kunci enkripsi unik (DEK) ke Cloud KMS untuk enkripsi, yang mengembalikan KEK
4. Simpan data terenkripsi dan kunci terenkripsi (KEK) secara berdampingan
5. Hancurkan kunci yang dihasilkan (DEK)

Saat mendekripsi data, prosesnya dibalik

1. Ambil data terenkripsi dan kunci terenkripsi (KEK) dari database
2. Kirim KEK ke Cloud KMS untuk dekripsi, yang mengembalikan DEK
3. Gunakan DEK untuk mendekripsi data terenkripsi kami
4. Hancurkan DEK

Cloud KMS dan PHP

Seperti kebanyakan layanan Google Cloud, ada yang bisa kita gunakan dalam aplikasi PHP kita. Dokumentasi Cloud KMS cukup lengkap, tetapi saya sarankan untuk memulai dengan panduan Quickstart dan panduan Otentikasi, yang membawa Anda melalui semua persyaratan

Persyaratan Cloud KMS

Pertama, Anda perlu membuat akun Google Cloud dan membuat project Google Cloud baru. Kemudian Anda mengaktifkan Cloud KMS API dan menginstal serta menginisialisasi Cloud SDK. Langkah ini memungkinkan Anda menjalankan alat command line

SELECT * FROM users
WHERE username = 'Ashley'
AND password = 'password_hash'
LIMIT 1;

Meskipun ini sepertinya banyak pekerjaan yang harus disiapkan, dokumen Google Cloud sangat membantu dalam memandu Anda melalui langkah-langkahnya

Implementasi Cloud KMS PHP

Dengan mengingat hal ini, saya telah membuat kelas pembantu yang sangat sederhana untuk melakukan enkripsi amplop, yang menggunakan Google Cloud KMS SDK. Saya tidak akan mempertimbangkan kode siap-produksi ini, karena dapat menggunakan beberapa penanganan kesalahan yang lebih baik, tetapi ini memberi Anda tempat untuk memulai. Kelas helper ini menggunakan versi terbaru dari Google Cloud KMS SDK, yang saat ini berada di versi 1. 12

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Anda akan melihat bahwa metode enkripsi dan dekripsi yang sebenarnya hampir identik dengan implementasi kunci rahasia yang diperkenalkan di atas. Namun perbedaannya adalah kami sekarang menggunakan beberapa kunci enkripsi. Mari kita lihat kelas helper beraksi

Penggunaan KeyManager

Untuk memanfaatkan kelas helper ini, Anda harus memulai proyek baru dengan dukungan Composer, menginstal paket

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

Terakhir, Anda perlu menyiapkan variabel

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

SELECT username, password FROM users
WHERE username = 'Ashley'
LIMIT 1;

[email protected]:~$ php -a
Interactive mode enabled

php > print_r(password_algos());
Array
(
    [0] => 2y
    [1] => argon2i
    [2] => argon2id
)
php >

Jika Anda ingin melihat kode ini beraksi, saya telah membuat repositori GitHub yang mengatur segalanya untuk penerapan sederhana ini

Jika penyerang menyusupi sistem kami, mereka masih dapat memperoleh akses ke implementasi Cloud KMS API kami, dan menggunakannya untuk mendekripsi data terenkripsi yang mungkin telah mereka salin. Jika demikian, Anda mungkin bertanya-tanya bagaimana enkripsi amplop lebih aman daripada enkripsi kunci rahasia biasa?

Perbedaan utama (permainan kata-kata) adalah bahwa akses KMS API dapat dicabut, sehingga mencegah penyerang mendekripsi data apa pun yang telah mereka buat. Dengan enkripsi kunci rahasia reguler di mana satu kunci lokal dikompromikan, Anda tidak memiliki kemewahan itu. Penyerang memiliki seluruh waktu di dunia untuk mendekripsi data sensitif Anda, menggunakan kunci lokal. Enkripsi amplop bukanlah solusi yang sempurna, tetapi tentu saja menurunkan risiko pelanggaran data

WordPress dan Data Sensitif

Pertanyaan umum yang saya lihat di kalangan pengembang WordPress adalah; . Biasanya, ini adalah plugin atau tema yang harus dapat mengakses beberapa API pihak ketiga (misalnya layanan MailChimp atau AWS), yang diautentikasi menggunakan kunci akses API dan terkadang rahasia kunci akses. Salah satu contohnya adalah WP Offload Media kami sendiri, yang memerlukan kredensial akses ke penyedia penyimpanan di luar situs Anda

Umumnya, ada dua opsi utama yang tersedia untuk mengimplementasikan detail akses ini

1. Simpan sebagai teks biasa dengan pengidentifikasi (biasanya sebagai konstanta PHP) dalam file kredensial yang tidak dapat diakses publik, dan memerlukan file tersebut dari wp-config. file php
2. Enkripsi, simpan di database, lalu dekripsi saat Anda perlu melakukan panggilan API, menggunakan salah satu metode enkripsi yang telah kita bahas di atas

Kenyataannya adalah, apa pun yang Anda lakukan, jika kode Anda dapat membaca rahasianya, penyerang yang termotivasi pun dapat melakukannya. Seperti yang telah kita diskusikan, bahkan enkripsi amplop tidak sepenuhnya aman, dan sebagai pengembang plugin, Anda memiliki sedikit kendali atas metode enkripsi yang tersedia untuk pemilik situs.

Menurut pendapat saya, lebih baik mengedukasi pengguna Anda tentang keamanan. Pastikan Anda memiliki dokumentasi yang dapat mereka gunakan untuk menonaktifkan akses API pihak ketiga di sumbernya jika terjadi pelanggaran. Pastikan dokumentasi Anda mencakup aspek-aspek seperti cara membatasi kemampuan baca atau tulis pada layanan pihak ketiga. Misalnya, kami baru saja memperbarui dokumentasi penyedia penyimpanan cadangan SpinupWP kami dengan detail tentang caranya

Jika Anda bekerja dengan pemilik situs, ajari mereka untuk selalu memperbarui inti, plugin, dan tema WordPress, serta versi PHP mereka, untuk mencegah kerentanan; . Jika mereka perlu mengakses server, pastikan mereka menggunakan autentikasi kunci SSH dan SFTP untuk mengelola file

Tidak apa-apa mengganti kunci rumah Anda setelah seseorang mencuri kunci Anda, tetapi lebih baik jangan pernah kunci Anda dicuri sejak awal.

Membungkus

Keamanan dan enkripsi data adalah subjek yang sangat luas dan saya hanya membahas beberapa cara untuk melindungi data sensitif menggunakan PHP. Namun pada akhirnya, enkripsi apa pun yang Anda terapkan masih rentan terhadap serangan, tingkat risikonya bervariasi. Mengetahui jenis yang berbeda berarti Anda dapat memilih untuk menerapkannya pada berbagai tingkat kode aplikasi Anda, bergantung pada sensitivitas data Anda

Tindakan pencegahan apa yang Anda lakukan?

Catatan ini telah diposting di WP Migrate DB Pro, Pengembangan Plugin dan menandai Pengembangan, Keamanan, PHP, Enkripsi, Hashing, Kata Sandi

tentang Penulis

Ashley Kaya

Ashley adalah Laravel dan Vue. Pengembang js dengan minat dalam perkakas untuk hosting WordPress, kinerja server, dan keamanan. Sebelum bergabung dengan Delicious Brains, Ashley bertugas di Royal Air Force sebagai Teknisi TIK

@A5hleyRich ashleyrich. com