はじめに
・PHPで、セキュリティに関心がある方
・ハッシュ、ハッシュ関数が分からない方
ハッシュとは
ハッシュとはアルゴリズムに基づき、**読解不可能な文字列などに置換する仕組み**のことです。
※パスワードなどの機密情報を扱う時になどに使用します。
代表的なハッシュ関数
PHPには標準で、**文字列からハッシュ値を計算し、生成する関数**が存在します。
※以下が代表的な、ハッシュ関数です。
|ハッシュ関数|詳細|
|:---:|:|
|hash|指定したアルゴリズムで、ハッシュ値を生成する ※バージョン 5.1.2以降|
|md5|MD5方式で、16進数・32文字のハッシュ値を生成する|
|sha1|SHA-1方式で、16進数・40文字のハッシュ値を生成する|
|password_hash|機密性の高い文字列のハッシュ値を生成する ※バージョン 5.5以降|
hash
sample_hash.php
<?php
$str = 'hoge';
var_dump(hash("sha256", $str));
?>
実行結果
string(64) "ecb666d778725ec97307044d642bf4d160aabb76f56c0069c71ea25b1e926825"
md5
sample_md5.php
<?php
$str = 'hoge';
var_dump(md5($str));
?>
実行結果
string(32) "a577f0035386e7d04551e867b3d9f024"
sha1
sample_sha1.php
<?php
$str = 'hoge';
var_dump(sha1($str));
?>
実行結果
string(40) "31f30ddbcb1bf8446576f0e64aa4c88a9f055e3c"
password_hash
sample_password_hash.php
<?php
// ハッシュ値を計算する前の文字列
$str = "hoge";
// ハッシュ値を計算
password_hash($str, PASSWORD_DEFAULT);
?>
実行結果
string(60) "$2y$10$zgsW6rm.9wcBnkSw2/Jp3OiJSDy5gsEUAM6fum4zva7/5jauNVixK"
おまけプログラム
IDとパスワードを入力し、DBに保存するプログラムを作成しました。なお、パスワードは**password_hash**を使用し、ハッシュ化しています。
※今回使用するDB情報
|ユーザー名|DB名|カラム名情報①|カラム名情報②|
|:---:|:|:---:|:---:|:---:|
|id_pass_user|hashdb|id_data varchar(100)|pass_data varchar(100)|
新規で作成した、ユーザーにはパーミッション（権限）がないので、以下のコマンドで付与します。今回の場合は、**id_pass_user**にDBレベル(hashdb)での付与になります。
パーミッションの付与（DBレベル）
mysql> grant all on hashdb.*to id_pass_user@localhost;
※入力する、IDとパスワード
|ID|パスワード|
|:---:|:|:---:|
|hogeID|hogePASS|
コード一覧
data_vaildataion.php
<?php
// ID,パスワードと、DBのバリデーションの補助を実装したクラス
class DataVaildataion {
//ID,パスワードと、DBのバリデーションに必要なデータをカプセル化
private $hash_pass = null;
private $success_message = null;
private $error_message = null;
private $clean = array();
# ゲッターは今回必要ないので、コメントアウト
/*public function getHashPass() {
return $this->hash_pass;
}
public function getSuccessMessage() {
return $this->success_message;
}
public function getErrorMessage() {
return $this->error_message;
}
public function getClean() {
return $this->clean;
}*/
// セッターで、ID,パスワードのバリデーションの補助
public function setHashPass($hash_pass) {
return $this->hash_pass = $hash_pass;
}
public function setSuccessMessage($success_message) {
return $this->success_message = $success_message;
}
public function setErrorMessage($error_message) {
return $this->error_message = $error_message;
}
public function setClean($clean) {
return $this->clean = $clean;
}
}
?>
db.php
<?php
// 必要なプロパティのあるクラスファイルの呼び出しと、インスタスの生成
require_once('data_vaildataion.php');
require_once('from.php');
$data = new DataVaildataion();
// データベースの接続情報を定数で実装
define( 'DB_HOST', '127.0.0.1'); # phpadminの場合は、localhost
define( 'DB_USER', 'id_data_user');
define( 'DB_PASS', '各自のパスワード');
define( 'DB_NAME', 'hashdb');
// Dataクラスのセッターを使用し、ID,パスワードのバリデーションを実装
if(!empty($_POST['btn_submit'])) {
if(empty($_POST['id_data']) || empty($_POST['pass_data'])) {
echo $data->setErrorMessage('IDまたは、パスワードが未入力です。').PHP_EOL;
exit();
}else {
// Dataクラスのセッターを使用し、IDのサニタイズの実装 (シングルクフォートと、ダブルクフォートをHTMLに変換しない）
$data->setClean($clean['id_data'] = htmlspecialchars( $_POST['id_data'], ENT_QUOTES));
// 上記と同じく、パスワードのサニタイズの実装
$data->setClean($clean['pass_data'] = htmlspecialchars($_POST['pass_data'], ENT_QUOTES));
// セキリュティを考慮し、password_hashを採用（同じハッシュを生成しない。DBとの比較の際は、password_verifyを採用）
$data->setHashPass($hash_pass['hash_pass'] = password_hash($clean['pass_data'], PASSWORD_DEFAULT));
}
// Dataクラスのセッターを使用し、DBのバリデーションを実装後、DBに保存
if(empty($data->setErrorMessage($error_message)) ) {
$mysqli = new mysqli( DB_HOST, DB_USER, DB_PASS, DB_NAME);
if($mysqli->connect_errno ) {
echo $data->setErrorMessage('エラー番号 '.$mysqli->connect_errno).PHP_EOL;
exit();
}else{
$sql = "INSERT INTO hash (id_data, pass_data) VALUES ( '$data->setClean($clean[id_data])', '$data->setClean($hash_pass[hash_pass])')";
}
$res = $mysqli->query($sql);
if($res) {
echo $data->setSuccessMessage('登録が完了しました。');
}else{
echo $data->setErrorMessage('登録に失敗しました。');
}
$mysqli->close();
}
}
?>
from.php
<?php
require_once('data_vaildataion.php');
?>
<!DOCTYPE html>
<html lang="ja">
<head>
<meta charset="utf-8">
<title>ハッシュ化しよう</title>
</head>
<body>
<h1>新規登録画面</h1>
<div class="input_area">
<form action="db.php" method="post">
<dl class="id">
<dt>ID</dt>
<dd><input type="text" name="id_data"></dd>
</dl>
<dl class="pass">
<dt>PASS</dt>
<dd><input type="text" name="pass_data"></dd>
</dl>
<input type="submit" name="btn_submit" value="新規登録">
</form>
</div>
</body>
</html>
hashdb
+----+---------+----------------------------------------------------------------+
| id | id_data | pass_data |
+----+---------+----------------------------------------------------------------+
| 1 | (hogeID) | ($2y$10$0V2iu9qPDLJ/LOo629jT2OSNWlEHqUzADek23k.Ns.swWZiT3GRxu) |
+----+---------+----------------------------------------------------------------+
※上記のコードで、IDとハッシュ化されたパスワードがDBに保存できます。
参考サイト
・文字列からハッシュ値を取得する