crypt（）関数のsaltに23文字目を使用しないでください。

Question

私はPHPのcrypt（）関数について学習しており、いくつかのテストを実行しています。 this postによれば、私は22文字の長さの塩を使うべきです。しかし、私は23文字の長さの文字列を使用できますが、いくつかの制限があります。私が22文字の長い文字列を使うと、私はいつも '$ 2y $ xxStringStringStringStri.HashHashHashHashHashHashHashHas'の結果を得ます。私はその期間が塩の一部であることを知っています。

22文字の代わりに23文字を使用すると、正常に異なるハッシュを生成できますが、すべての64文字に対して4つの異なる結果しか得られないようです。 23文字が64文字のアルファベットの最も近い1 /第四に、「切り捨て」（「O」または任意の数のダウン例えば23番目の文字が「W」であるとのラウンド「U」に切り捨て）

v---------------v---------------v---------------v--------------- 
./ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz1234567890 

これらのcrypt関数はすべて4は、同じ塩生成：

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAq'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAr'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAs'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAt'); 

をしかし、この1つは異なっている：

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAu'); 

だから、それが成功した異なる結果を生成することができたとき、私は23文字を使用してはならない理由は？ PHPを使用しないで避けなければならない何らかの不具合な動作がPHPにありますか？

crypt('Test123','$2y$08$ABCDEFGHIJKLMNOPQRSTUV'); 
//  The salt is '$ABCDEFGHIJKLMNOPQRSTUV' 
//  Which will be treated as '$ABCDEFGHIJKLMNOPQRSTUO' 

Answer 1

それはハッシュの衝突に関係している：私は塩で23番目の文字をカウントしていますどのように明確にするため

。 22文字を超えると、生成されたハッシュはアルゴリズムのNAMESPACEに応じて一意ではなくなります。別の言い方をすると、22文字以上ではセキュリティが向上せず、実際にセキュリティレベルが低下する可能性があります。

Answer 2

$は実際の塩の一部ではありません。セパレータです。

Blowfish cryptの場合、フォーマットは$ 2 [axy] $ log2Rounds $ [salt] [hash]です。あなたはそれを追加すると説明します。 - それはあなたが最後の文字を欠いているからです。ブローフィッシュの塩は128ビットです。あなたは126を使用することができます、はい、しかし、あなたは不必要に塩を弱めるだけです。