bin2hex対ランダムハッシュトークンのbase64_encode？

Question

パスワードリセットまたは電子メールのアクティベーションのためのセキュアなURL安全ハッシュを生成するには、これらの機能のうち安全性の高いものはbin2hexまたはbase64_encodeです。

1（これらのいずれかを使用して）トークンを生成：データベース内

$token = bin2hex(openssl_random_pseudo_bytes(32)); 
$token = strtr(base64_encode(openssl_random_pseudo_bytes(64)), "+/=", "XXX"); 

2.ストア：

$token_hash = password_hash($token, PASSWORD_BCRYPT); 
INSERT INTO hash_table SET token_hash='$token_hash', series='X' 

3.検証トークン：

SELECT token_hash FROM hash_table WHERE series='X' 
if (password_verify($hash_from_url,$token_hash)) { 
    // Success 
} 

$ hash_from_urlが72文字を超えると、それ以上の違いはありません。

しかし、同じように長い文字列、つまり72文字の長さのランダムバイトを使用すると仮定した場合、bin2hexではなく16個の異なる文字を得るためにbase64を使用する方が良いでしょう？

Answer 1

エンコーディング自体は、セキュリティに関して実際には何も変更されません。

すでに指摘したように、bin2hex()は、可能な文字列のベースが小さいため、同じバイト数の場合にはより長い文字列をbase64_encode()として返します。つまり、トークンの長さが指定されると、base64エンコーディングはより多くのエントロピーでトークンを生成し、したがってより適しています。

あなたのトークンが十分に強く（最小20文字のa..z、A..Z、0..9）、password_hashの代わりにソルトやキーストロークなしで単純なハッシュ関数（例SHA-256）を使用できます。この方法で、検索可能なハッシュをデータベースに作成できます。

少し前、私はsmall classを書いて、パスワードのリセットのために特定の長さのbase62トークンを生成しました。コードを見てみたいかもしれません。