PHPでパスワード比較に==とか===使っちゃだめって知ってた？ - Qiita

テクノロジーカテゴリーの変更を依頼記事元:

qiita.com/ariaki

60 usersがブックマークコメント

コメント

7

記事へのコメント7件

注目コメント
新着コメント

rryu 確かに先頭から不一致箇所を探索する方法だと理論的にはタイミング攻撃が可能だが、そんなわずかな差を検出できるのだろうか。

セキュリティ

2020/08/28 リンク

ghostbass どうせハッシュしてるしpassword_hash()したバイト列と保存したバイト列を単純に比較したところで「パスワード文字列の何文字目まで一致している」なんかわかるはずないと思います。

2020/08/29 リンク

habarhaba タイミング攻撃を知って書きたくなる気持ちは分かるが、それよりもパスワードは生文で扱わない、総当たり攻撃を防ぐ方が重要なことを知っていて欲しい

2020/08/29 リンク

fn7 ネットワークレイテンシがかかるところでタイミング攻撃が効果的なのかな。

2020/08/29 リンク

xlc バカ？ / こういうモノの本質が分からず危機を煽るトンチキがSIerにいると現場は地獄になる。かつて「SQLのWHEREでORを使うときは理由を書いた申請が必要」という現場があった。

2020/08/29 リンク

habarhaba タイミング攻撃を知って書きたくなる気持ちは分かるが、それよりもパスワードは生文で扱わない、総当たり攻撃を防ぐ方が重要なことを知っていて欲しい

2020/08/29 リンク

fn7 ネットワークレイテンシがかかるところでタイミング攻撃が効果的なのかな。

2020/08/29 リンク

sagasite 記事のコメント欄の指摘が有能

2020/08/29 リンク

ghostbass どうせハッシュしてるしpassword_hash()したバイト列と保存したバイト列を単純に比較したところで「パスワード文字列の何文字目まで一致している」なんかわかるはずないと思います。

2020/08/29 リンク

xlc バカ？ / こういうモノの本質が分からず危機を煽るトンチキがSIerにいると現場は地獄になる。かつて「SQLのWHEREでORを使うときは理由を書いた申請が必要」という現場があった。

2020/08/29 リンク

yarumato “PHPを含む多くの言語は文字列比較に内部で strcmp() を使う。この関数は脆弱。内部で1バイトずつ比較検証するため、応答時間をもとに先頭から何文字正解だったか推測できる（タイミング攻撃）PHPならhash_equals() 使おう”

2020/08/29 リンク

rryu 確かに先頭から不一致箇所を探索する方法だと理論的にはタイミング攻撃が可能だが、そんなわずかな差を検出できるのだろうか。

セキュリティ

2020/08/28 リンク

注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の「建設的コメント順位付けモデルAPI」を使用しています

規約違反を報告

アプリのスクリーンショット

いまの話題をアプリでチェック！

バナー広告なし
ミュート機能あり
ダークモード搭載

アプリをダウンロード

関連記事

{{ total_bookmarks_with_user_postfix }}{{ root_title }}

PHPでパスワード比較に==とか===使っちゃだめって知ってた？ - Qiita

PHPerの皆さん、重要な文字列を入力データと保管情報を比較するときに比較演算子（"=="とか"==="）使っ... PHPerの皆さん、重要な文字列を入力データと保管情報を比較するときに比較演算子（"=="とか"==="）使ってませんか？これ実は使っちゃだめなので、気をつけましょう。なぜだめなの？（2020/8/31修正）関数名をtypoしていたため修正しました。（正）memcmp・（誤）strcmpです。 PHPを含む多くの言語では、文字列を比較する際に内部で memcmp() を使います。通常の（厳密なセキュリティを必要としない）ケースでは、比較演算子を使うことはまったく問題ありません。パスワードなど絶対に推測されてはいけない文字列を比較する場合、この関数は脆弱といえます。 memcmp() は内部で1バイトずつ比較検証するため、応答時間をもとに先頭から何文字正解だったか推測できます。このような攻撃を「タイミング攻撃」といいます。どうすればいいの？ PHPでは、ハッシュ値を用いて文字

ブックマークしたユーザー

techtech05212024/04/03
okishima_k2023/04/23
kenjiro_n2020/08/31
hourousuteneko2020/08/29
westerndog2020/08/29
sirataki2562020/08/29
halabox2020/08/29
dev_tamura2020/08/29
fm3152020/08/29
toaruR2020/08/29
meinl-weston-45qhs2020/08/29
kiyokono2020/08/29
tajamaru2020/08/29
habarhaba2020/08/29
tmyk_kym2020/08/29
fn72020/08/29
sh052020/08/29
sagasite2020/08/29

同じサイトの新着

同じサイトの新着をもっと読む

いま人気の記事

いま人気の記事をもっと読む

いま人気の記事 - テクノロジー

いま人気の記事 - テクノロジーをもっと読む

新着記事 - テクノロジー

新着記事 - テクノロジーをもっと読む

設定を変更しましたx