Tại sao tôi không nên sử dụng ký tự thứ 23 trong muối của hàm crypt()?

Question

Tôi đang học về hàm crypt() của PHP và đã chạy một số thử nghiệm với nó. Theo số this post, tôi nên sử dụng muối dài 22 ký tự. Tuy nhiên, tôi có thể sử dụng một chuỗi dài 23 ký tự với một số hạn chế. Khi tôi sử dụng chuỗi dài 22 ký tự, tôi luôn nhận được kết quả '$ 2y $ xxStringStringStringStri.HashHashHashHashHashHashHashHas'. Tôi biết thời kỳ này chỉ là một phần của muối.

Có vẻ như nếu tôi sử dụng 23 ký tự thay vì chỉ 22, tôi có thể tạo thành công các băm khác nhau, nhưng chỉ có 4 kết quả khác nhau cho tất cả 64 ký tự. Ký tự thứ 23 "làm tròn" xuống gần 1/4 của ký tự 64 ký tự (ví dụ: ký tự thứ 23 là "W" và làm tròn xuống "O" hoặc bất kỳ số nào tròn xuống "u")

v---------------v---------------v---------------v--------------- 
./ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz1234567890 

Tất cả bốn người trong số các chức năng hầm mộ tạo ra các muối tương tự:

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAq'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAr'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAs'); 
crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAt'); 

Nhưng, lần này là khác nhau:

crypt('Test123','$2y$09$AAAAAAAAAAAAAAAAAAAAAu'); 

Vậy tại sao tôi không nên sử dụng ký tự thứ 23 khi nó có thể tạo thành những kết quả khác nhau? Có một số loại hành vi không ổn định trong PHP mà nên tránh bằng cách không sử dụng nó?

Để làm rõ về cách tôi đang đếm kí tự thứ 23 trong muối:

crypt('Test123','$2y$08$ABCDEFGHIJKLMNOPQRSTUV'); 
//  The salt is '$ABCDEFGHIJKLMNOPQRSTUV' 
//  Which will be treated as '$ABCDEFGHIJKLMNOPQRSTUO' 

Answer 1

Nó đã làm với va chạm băm. Khi bạn vượt quá 22 ký tự, dấu băm được tạo của bạn không còn độc đáo phụ thuộc vào NAMESPACE của thuật toán. Nói một cách khác, hơn 22 ký tự không dẫn đến bất kỳ sự bảo mật nào tăng lên và thực sự có thể làm giảm mức độ bảo mật của bạn.

Answer 2

$ không phải là một phần của muối thực tế. Nó là một dấu phân cách.

Đối với mật mã Blowfish, định dạng là $ 2 [axy] $ log2Rounds $ [salt] [hash]. Bạn mô tả nó thêm a. - đó là bởi vì bạn đang thiếu ký tự cuối cùng. Muối của Blowfish là 128 bit. Bạn có thể sử dụng chỉ 126, có, nhưng bạn chỉ cần làm suy yếu muối không cần thiết.