Сконфігуруйте новий хешувальник, використовуючи "migrate_from"

Коли стає доступним покращений алгоритм хешування, вам потрібно залишити існуючий(і) хешувальник(и), переіменувати його, а потім визначити новий. Встановіть опцію
migrate_from у новому хешувальнику, щоб вказати йому на старий(і) успадкований(і) хешувальник(и):

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

# config/packages/security.yaml
security:
    # ...

    password_hashers:
        # хешувальник, використовуваний раніше для деяких користувачів
        legacy:
            algorithm: sha256
            encode_as_base64: false
            iterations: 1

        App\Entity\User:
            # новий хешувальник, разом з його опціями
            algorithm: sodium
            migrate_from:
                - bcrypt # використовує хешувальник "bcrypt" з опціями за замовчуванням
                - legacy # використовує хешувальник "legacy", сконфігурований вище

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

<!-- config/packages/security.xml -->
<?xml version="1.0" encoding="UTF-8" ?>
<container xmlns="http://symfony.com/schema/dic/services"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns:security="http://symfony.com/schema/dic/security"
    xsi:schemaLocation="http://symfony.com/schema/dic/security
        https://symfony.com/schema/dic/security/security-1.0.xsd
        http://symfony.com/schema/dic/security
        https://symfony.com/schema/dic/security/security-1.0.xsd">

    <security:config>
        <!-- ... -->

        <security:password-hasher class="legacy"
            algorithm="sha256"
            encode-as-base64="false"
            iterations="1"
        />

        <!-- algorithm: новий хешувальник, разом з його опціями -->
        <security:password-hasher class="App\Entity\User"
            algorithm="sodium"
        >
            <!-- використовує хешувальник "bcrypt" з опціями за замовчуванням -->
            <security:migrate-from>bcrypt</security:migrate-from>

            <!-- використовує хешувальник "legacy", сконфігурований вище -->
            <security:migrate-from>legacy</security:migrate-from>
        </security:password-hasher>
    </security:config>
</container>

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

// config/packages/security.php
use Symfony\Config\SecurityConfig;

return static function (SecurityConfig $security) {
    // ...
    $security->passwordHasher('legacy')
        ->algorithm('sha256')
        ->encodeAsBase64(true)
        ->iterations(1)
    ;

    $security->passwordHasher('App\Entity\User')
        // новий хешувальник, разом з його опціями
        ->algorithm('sodium')
        ->migrateFrom([
            'bcrypt', // використовує хешувальник "bcrypt" з опціями за замовчуванням
            'legacy', // використовує хешувальник "legacy", сконфігурований вище
        ])
    ;
};

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

// ...
$passwordHasherFactory = new PasswordHasherFactory([
    'legacy' => [
        'algorithm' => 'sha256',
        'encode_as_base64' => true,
        'iterations' => 1,
    ],

    User::class => [
        // новий хешувальник, разом з його опціями
        'algorithm' => 'sodium',
        'migrate_from' => [
            'bcrypt', // використовує хешшувальник "bcrypt" з опціями за замовчуванням
            'legacy', // використовує хешувальник "legacy", сконфігурований вище
        ],
    ],
]);

З таким налаштуванням:

• Нові користувачі будуть хешовані з використанням нового алгоритму;
• Коли у систему війде користувач, чий пароль все ще збережно за допомогою старого алгоритму, Symfony верифікує пароль зі старим алгоритмом, а потім оновить пароль, використовуючи новий алгоритм.

Оновіть пароль

Після успішного входу у систему, система Безпеки перевіряє, чи доступний покращений алгоритм для хешування пароля користувача. Якщо доступний, вона хешує правильний пароль, використовуючи новий хеш. При використанні користувацького аутентифікатора, ви повинні використовувати PasswordCredentials у паспорті безпеки .

Ви можете включити поведінку оновлення пароля, реалізувавши, як цей новохешований пароль повинен бути збережений:

• За використання сутності постачальника користувачів Doctrine
• За використання сутності користувацького постачальника користувачів

Після цього, ви закінчили, і паролі завжди будуть хешовані максимально безпечно!

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

// src/Repository/UserRepository.php
namespace App\Repository;

// ...
use Symfony\Component\Security\Core\User\PasswordUpgraderInterface;

class UserRepository extends EntityRepository implements PasswordUpgraderInterface
{
    // ...

    public function upgradePassword(UserInterface $user, string $newHashedPassword): void
    {
        // встановити новий хешований пароль в обʼєкті User
        $user->setPassword($newHashedPassword);

        // виконати запити у базі даних
        $this->getEntityManager()->flush();
    }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

// src/Security/UserProvider.php
namespace App\Security;

// ...
use Symfony\Component\Security\Core\User\PasswordUpgraderInterface;

class UserProvider implements UserProviderInterface, PasswordUpgraderInterface
{
    // ...

    public function upgradePassword(UserInterface $user, string $newHashedPassword): void
    {
        // встановити новий хешований пароль в обʼєкті User
        $user->setPassword($newHashedPassword);

        // ... зберегти новий пароль
    }
}

Запустіть міграцію паролів з користувацького хешувальника

Якщо ви використовуєте користувацький хешувальник паролів, ви можете запустити міграцію паролів, повернувши true в методі needsRehash():

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

// src/Security/CustomPasswordHasher.php
namespace App\Security;

// ...
use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface;

class CustomPasswordHasher implements UserPasswordHasherInterface
{
    // ...

    public function needsRehash(string $hashed): bool
    {
        // перевірити, чи хешовано поточний пароль з використанням застарілого хешувальника
        $hashIsOutdated = ...;

        return $hashIsOutdated;
    }
}

Хешувальник "auto"

Автоматично обирає найкращий доступний хешувальник. Починаючи з Symfony 5.3, він використовує хешувальник Bcrypt. Якщо PHP або Symfony у майбутньому додасть нові хешувальники паролів, він може обирати інший хешувальник.

Через це, довжина хешованих паролів може змінитися у майбутньому, тому переконайтеся в тому, що залишили достатньо місця для їх зберігання (varchar(255) має бути гарним налаштуванням).

Хешувальник паролів Bcrypt

Виробляє хешовані паролі з функцією хешування паролів bcrypt. Хешовані паролі мають 60 символів, тому переконайтеся в тому, що залишили достатньо місця для їх зберігання. Також, паролі включають у себе криптографічну сіль (яка генерується автоматично для кожного нового пароля), щоб вам не потрібно було з цим розбиратися.

Єдина опція конфігурації - cost, яка є цілим числом у діапазоні 4-31 (за замовчуванням, 13). Кожний крок вартості подвоює час. необхідний для хешування пароля. Це зроблено для того, щоб сила паролю могла бути адаптована до наступних покращень у потужності обчислення.

Ви можете змінити вартість у будь-який час - навіть якщо у вас вже є паролі, хешовані з використанням іншої вартості. Нові паролі будуть хешовані з використанням нової вартості, у той час як вже хешовані паролі будуть валідовані, використовуючи вартість, яка була використана під час їх хешування.

Хешувальник паролів Sodium

Використовує функцію формування ключа Argon2. Підтримка Argon2 була представлена в PHP 7.2, шляхом створення пакету розширення libsodium.

Хешовані паролі мають довжину 96 символів, але у звʼязку з вимогами хешування, збереженими у результуючому хеші, це може змінитися у майбутньому, так що переконайтеся в тому, що залишили достатньо місця для їх зберігання. Також, паролі включають в себе криптографічну сіль (яка генерується автоматично для кожного нового пароля), щоб вам не потрібно було з цим розбиратися.

Хешувальник PBKDF2

Використання хешувальника PBKDF2 більше не рекомендовано з того часу, як PHP додав підтримку Sodium та BCrypt. Успадковані додатки, які все ще використовують його, рекомендовано оновоити до новіших алгоритмів хешування.

Створення користувацького хешувальника паролів

Якщо вам потрібно створити свій власний, він має дотримуватись цих правил:

1. Клас має реалізовувати PasswordHasherInterface (ви також можете реалізувати LegacyPasswordHasherInterface, якщо ваш алгоритм хешу використовує окрему сіль);

2. Реалізації hash() та verify() повинні валідувати, що довжина пароля не довша за 4096 символів. Це з міркувань безпеки (див. CVE-2013-5750).

   Ви можете використати метод isPasswordTooLong() для цієї перевірки.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33

// src/Security/Hasher/CustomVerySecureHasher.php
namespace App\Security\Hasher;

use Symfony\Component\PasswordHasher\Exception\InvalidPasswordException;
use Symfony\Component\PasswordHasher\Hasher\CheckPasswordLengthTrait;
use Symfony\Component\PasswordHasher\PasswordHasherInterface;

class CustomVerySecureHasher implements PasswordHasherInterface
{
    use CheckPasswordLengthTrait;

    public function hash(string $plainPassword): string
    {
        if ($this->isPasswordTooLong($plainPassword)) {
            throw new InvalidPasswordException();
        }

        // ... хешувати простий пароль безпечним чином

        return $hashedPassword;
    }

    public function verify(string $hashedPassword, string $plainPassword): bool
    {
        if ('' === $plainPassword || $this->isPasswordTooLong($plainPassword)) {
            return false;
        }

        // ... валідувати, чи дорівнює пароль паролю користувача безпечним чином

        return $passwordIsValid;
    }
}

Тепер, визначіть хешувальник пароля, використовуючи налаштування id:

1
2
3
4
5
6
7

# config/packages/security.yaml
security:
    # ...
    password_hashers:
        app_hasher:
            # ID сервісу вашого користувацького хешувальника (FQCN, що використовує services.yaml за замовчуванням)
            id: 'App\Security\Hasher\MyCustomPasswordHasher'

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

<!-- config/packages/security.xml -->
<?xml version="1.0" encoding="UTF-8" ?>
<srv:container xmlns="http://symfony.com/schema/dic/security"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns:srv="http://symfony.com/schema/dic/services"
    xsi:schemaLocation="http://symfony.com/schema/dic/services
        https://symfony.com/schema/dic/services/services-1.0.xsd
        http://symfony.com/schema/dic/security
        https://symfony.com/schema/dic/security/security-1.0.xsd"
>

    <config>
        <!-- ... -->
        <!-- id: ID сервісу вашого користувацького хешувальника (FQCN, що використовує services.yaml за замовчуванням) -->
        <security:password_hasher class="app_hasher"
            id="App\Security\Hasher\CustomVerySecureHasher"/>
    </config>
</srv:container>

1
2
3
4
5
6
7
8
9
10
11

// config/packages/security.php
use App\Security\Hasher\CustomVerySecureHasher;
use Symfony\Config\SecurityConfig;

return static function (SecurityConfig $security) {
    // ...
    $security->passwordHasher('app_hasher')
        // ID сервісу вашого користувацького хешувальника (FQCN, що використовує services.yaml за замовчуванням)
        ->id(CustomVerySecureHasher::class)
    ;
};