ভুলে যাওয়া পাসওয়ার্ডের জন্য এলোমেলো টোকেন তৈরি করার জন্য সেরা অনুশীলন

Question 1

আমি ভুলে যাওয়া পাসওয়ার্ডের জন্য সনাক্তকারী তৈরি করতে চাই। আমি পড়লাম আমি mt_rand () দিয়ে টাইমস্ট্যাম্প ব্যবহার করে এটি করতে পারি, তবে কিছু লোক বলছেন যে টাইম স্ট্যাম্প প্রতিবারই অনন্য হতে পারে না। তাই আমি এখানে বিভ্রান্ত কিছুটা। আমি কি এটি দিয়ে টাইম স্ট্যাম্প ব্যবহার করে এটি করতে পারি?

প্রশ্ন
কাস্টম দৈর্ঘ্যের এলোমেলো / অনন্য টোকেন উত্পন্ন করার জন্য সেরা অনুশীলন কোনটি?

আমি জানি এখানে চারপাশে প্রচুর প্রশ্ন করা হয় তবে বিভিন্ন লোকের কাছ থেকে বিভিন্ন মতামত পড়ে আমি আরও বিভ্রান্ত হয়ে পড়ছি।

Question 2

পিএইচপি-তে, ব্যবহার করুন random_bytes()। কারণ: আপনি একটি পাসওয়ার্ড অনুস্মারক টোকেন পাওয়ার উপায় সন্ধান করছেন এবং এটি যদি এককালীন লগইন শংসাপত্রগুলি হয় তবে আপনার কাছে সুরক্ষার জন্য আসলে একটি ডেটা রয়েছে (যা - পুরো ব্যবহারকারীর অ্যাকাউন্ট)

সুতরাং কোডটি নিম্নরূপ হবে:

//$length = 78 etc
$token = bin2hex(random_bytes($length));

আপডেট : এই উত্তরের পূর্ববর্তী সংস্করণগুলি উল্লেখ করা হয়েছিল uniqid()এবং সুরক্ষার কোনও সমস্যা থাকলে এবং কেবল স্বতন্ত্রতা না থাকলে তা ভুল। uniqid()মূলত microtime()কিছু এনকোডিং সহ। microtime()আপনার সার্ভারে নির্ভুল পূর্বাভাস পাওয়ার সহজ উপায় রয়েছে । একজন আক্রমণকারী পাসওয়ার্ড পুনরায় সেট করার অনুরোধ জানাতে পারে এবং তারপরে বেশ কয়েকটি সম্ভাব্য টোকেন চেষ্টা করে। এটি আরও সম্ভব যদি আরও_এন্ট্রপি ব্যবহার করা হয়, কারণ অতিরিক্ত এনট্রপি একইভাবে দুর্বল। এটি প্রকাশ করার জন্য @ নিকিসি এবং @ স্কটআরাকিসজেউসকিকে ধন্যবাদ ।

আরও তথ্যের জন্য দেখুন

http://phpsecurity.readthedocs.org/en/latest/Iuuuuu-Entropy- for-Random-Values.html

Question 3

এটি 'সেরা র্যান্ডম' অনুরোধটির উত্তর দেয়:

সুরক্ষা.স্ট্যাকএক্সচেঞ্জ থেকে আদির উত্তর ¹এর এর সমাধান রয়েছে:

আপনার ওপেনএসএসএল সমর্থন রয়েছে তা নিশ্চিত করুন এবং আপনি এই ওয়ান-লাইনারের সাথে কখনও ভুল পাবেন না
$token = bin2hex(openssl_random_pseudo_bytes(16));

_{1. আদি, সোম 12 নভেম্বর 2018, সেল্রিটিস, "কনফার্মেশন ইমেইলগুলির জন্য একটি অদম্য টোকেন তৈরি করা হচ্ছে", সেপ্টেম্বর 20 '13 এ 7:06, https://security.stackexchange.com/a/40314/}

Question 4

স্বীকৃত উত্তরের পূর্ববর্তী সংস্করণটি md5(uniqid(mt_rand(), true))অনিরাপদ এবং কেবলমাত্র প্রায় 2 ^ 60 সম্ভাব্য আউটপুট সরবরাহ করে - স্বল্প বাজেটের আক্রমণকারীর জন্য প্রায় এক সপ্তাহের সময় ধরে নিরপেক্ষ বাহিনীর অনুসন্ধানের সীমার মধ্যে:

mt_rand()পূর্বাভাসযোগ্য (এবং কেবলমাত্র 31 টি বিট এনট্রপির যোগ করে)
uniqid() কেবলমাত্র 29 টি বিট পর্যন্ত এন্ট্রপি যুক্ত করা হয়
md5() এন্ট্রপি যুক্ত করে না, এটি কেবল নির্বিচারে এটি মিশ্রিত করে

যেহেতু একটি 56-বিট ডিইএস কী প্রায় 24 ঘন্টার মধ্যে নৃশংসভাবে জোর করা যেতে পারে , এবং একটি গড় ক্ষেত্রে প্রায় 59 বিট এনট্রপি থাকবে, তাই আমরা 2 ^ 59/2 ^ 56 = প্রায় 8 দিনের জন্য গণনা করতে পারি। এই টোকেন যাচাইকরণ কীভাবে বাস্তবায়িত হয় তার উপর নির্ভর করে, কার্যকরভাবে সময় সম্পর্কিত তথ্য ফাঁস এবং বৈধ পুনরায় সেট টোকেনের প্রথম এন বাইটগুলি নির্ধারণ করা সম্ভব হতে পারে ।

যেহেতু প্রশ্নটি "সেরা অনুশীলনগুলি" সম্পর্কে এবং এর সাথে খোলে ...

আমি ভুলে যাওয়া পাসওয়ার্ডের জন্য সনাক্তকারী তৈরি করতে চাই

... আমরা অনুমান করতে পারি যে এই টোকেনটির অন্তর্নিহিত সুরক্ষা প্রয়োজনীয়তা রয়েছে। এবং যখন আপনি কোনও এলোমেলো সংখ্যার জেনারেটরে সুরক্ষা প্রয়োজনীয়তা যুক্ত করেন, সর্বাধিক অনুশীলন হ'ল সর্বদা ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত সিউডোর্যান্ডম নম্বর জেনারেটর (সংক্ষেপিত সিএসপিআরএনজি) ব্যবহার করা।

একটি সিএসপিআরএনজি ব্যবহার করে

পিএইচপি 7 এ, আপনি ব্যবহার করতে পারেন bin2hex(random_bytes($n))(যেখানে $n15 এর চেয়ে বেশি পূর্ণসংখ্যা রয়েছে)।

পিএইচপি 5 এ, আপনি random_compatএকই এপিআই প্রকাশ করতে ব্যবহার করতে পারেন ।

বিকল্পভাবে, bin2hex(mcrypt_create_iv($n, MCRYPT_DEV_URANDOM))আপনি ext/mcryptইনস্টল করা থাকলে। আর একটি ভাল ওয়ান-লাইনার bin2hex(openssl_random_pseudo_bytes($n))।

মূল্যায়নকারী থেকে চেহারা আলাদা করা

আমার পিএইচপি-র সুরক্ষিত "আমাকে মনে রাখুন" কুকিগুলিতে আমার পূর্ববর্তী কাজ থেকে সরে আসা , পূর্বোক্ত সময় লিক (সাধারণত ডাটাবেস ক্যোয়ারী দ্বারা প্রবর্তিত) প্রশমিত করার একমাত্র কার্যকর উপায় হ'ল বৈধতা থেকে লুককে আলাদা করা।

আপনার টেবিলটি যদি এইরকম লাগে (মাইএসকিউএল) ...

CREATE TABLE account_recovery (
    id INTEGER(11) UNSIGNED NOT NULL AUTO_INCREMENT 
    userid INTEGER(11) UNSIGNED NOT NULL,
    token CHAR(64),
    expires DATETIME,
    PRIMARY KEY(id)
);

... আপনাকে আরও একটি কলাম যুক্ত করতে হবে selector, এর মতো:

CREATE TABLE account_recovery (
    id INTEGER(11) UNSIGNED NOT NULL AUTO_INCREMENT 
    userid INTEGER(11) UNSIGNED NOT NULL,
    selector CHAR(16),
    token CHAR(64),
    expires DATETIME,
    PRIMARY KEY(id),
    KEY(selector)
);

একটি সিএসপিআরএনজি ব্যবহার করুন যখন কোনও পাসওয়ার্ড পুনরায় সেট করার টোকেন জারি করা হয়, তখন ব্যবহারকারীকে উভয় মান প্রেরণ করুন, নির্বাচক এবং ডাটাবেসে র্যান্ডম টোকেনের একটি SHA-256 হ্যাশ সংরক্ষণ করুন। নির্বাচকটি হ্যাশ এবং ব্যবহারকারী আইডি দখল করতে ব্যবহার করুন, ব্যবহারকারীর ডাটাবেজে সংরক্ষিত থাকা টোকেনটির SHA-256 হ্যাশ গণনা করুন hash_equals()।

উদাহরণ কোড

পিডিও দিয়ে পিএইচপি 7 (বা 5.6 এলোমেলো_কম্প্যাট সহ) একটি রিসেট টোকন তৈরি করা:

$selector = bin2hex(random_bytes(8));
$token = random_bytes(32);

$urlToEmail = 'http://example.com/reset.php?'.http_build_query([
    'selector' => $selector,
    'validator' => bin2hex($token)
]);

$expires = new DateTime('NOW');
$expires->add(new DateInterval('PT01H')); // 1 hour

$stmt = $pdo->prepare("INSERT INTO account_recovery (userid, selector, token, expires) VALUES (:userid, :selector, :token, :expires);");
$stmt->execute([
    'userid' => $userId, // define this elsewhere!
    'selector' => $selector,
    'token' => hash('sha256', $token),
    'expires' => $expires->format('Y-m-d\TH:i:s')
]);

ব্যবহারকারী দ্বারা সরবরাহিত রিসেট টোকন যাচাই করা হচ্ছে:

$stmt = $pdo->prepare("SELECT * FROM account_recovery WHERE selector = ? AND expires >= NOW()");
$stmt->execute([$selector]);
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);
if (!empty($results)) {
    $calc = hash('sha256', hex2bin($validator));
    if (hash_equals($calc, $results[0]['token'])) {
        // The reset token is valid. Authenticate the user.
    }
    // Remove the token from the DB regardless of success or failure.
}

এই কোড স্নিপেটগুলি সম্পূর্ণ সমাধান নয় (আমি ইনপুট বৈধতা এবং কাঠামোর একীকরণগুলি এচু করেছি) তবে তাদের কী করা উচিত তার উদাহরণ হিসাবে পরিবেশন করা উচিত।

Question 5

আপনি DEV_RANDOM ব্যবহার করতে পারেন, যেখানে উত্পাদিত টোকেন দৈর্ঘ্য 128 = 1/2। নীচের কোড 256 টোকেন উত্পন্ন করে।

$token = bin2hex(mcrypt_create_iv(128, MCRYPT_DEV_RANDOM));

Question 6

আপনার যখন খুব খুব এলোমেলো টোকেন লাগবে তখন এটি সহায়ক হতে পারে

<?php
   echo mb_strtoupper(strval(bin2hex(openssl_random_pseudo_bytes(16))));
?>