Web アプリケーションのパスワード保存ロジック変更に対応可能な実装方法

公開日：2015年11月12日
最終更新日：2015年11月13日

Web アプリケーションのパスワード保存ロジック変更に対応可能な実装方法

はじめに

Web アプリケーションでは、パスワードを、ソルト＋ハッシュ化＋ストレッチングの手法で安全に保存されていると思います。もし、こうしたパスワードの保存方法を行っていない場合は、早急にパスワードの保存方法を改善することをお勧めします。パスワードが漏洩して信用を失ってからでは遅いですからね。

パスワードの安全な保存方法は、以下の記事を参考にしてください。PHP, Java, C#, VB.NET の実装サンプルもあります。

安全なパスワードの保存方法

さて、ハッシュ方式として、MD5 と SHA1 がありますが、今はもう危殆化（安全ではなくなる）してしまって、使用するのにはよろしくありません。

ですが、既存のシステムではこのハッシュ方式を使用しているケースも多いと思います。では、こういった既存システムや、今後のシステムではどうすればよいのでしょうか？

それは、パスワードの保存方法にバージョンを付与して判断・更新することです。これにより、ユーザーのパスワードは最新の方式で、安全に保存することができます。

この記事では、この実装方法をご紹介します。

PHP + PDO + MySQL (CentOS 7) で動作検証していますが、理屈は他の言語でも同じなので参考になると思います。

設計イメージ

Test データベースに、以下のような USERS テーブルを作成します。

VERSION フィールドはパスワード保存ロジックのバージョンを保存します。

+----------+--------------+------+-----+---------+-------+
| Field    | Type         | Null | Key | Default | Extra |
+----------+--------------+------+-----+---------+-------+
| ID       | varchar(255) | NO   | PRI | NULL    |       |
| VERSION  | int(11)      | NO   |     | NULL    |       |
| SALT     | varchar(255) | NO   |     | NULL    |       |
| PASSWORD | varchar(255) | NO   |     | NULL    |       |
+----------+--------------+------+-----+---------+-------+

+----------+--------------+------+-----+---------+-------+

+----------+--------------+------+-----+---------+-------+

| ID | varchar(255) | NO | PRI | NULL | |

| VERSION | int(11) | NO | | NULL | |

+----------+--------------+------+-----+---------+-------+

現在のパスワード保存ロジックのバージョン番号を、PHP の設定ファイルに保存しておきます。そして、ログイン時、ユーザーの VERSION フィールドと、設定ファイルのバージョン番号が異なる場合は、VERSION, SALT, PASSWORD を最新のものに更新します。以降は、新しいパスワード保存ロジックでログインするようにします。

PHP のファイルは以下の４種類用意します。

function.php	共通設定ファイル
login.php	ログイン画面
login_check.php	ログインチェック
welcome.php	ログイン後画面

サンプルコード

・function.php

<?php
define("DSN","mysql:host=localhost;dbname=Test;charset=utf8"); //文字エンコーディング必須
define("USERNAME", "user01”);   //DBユーザーID
define("PASSWORD", "pass”);     //DBユーザーパスワード
define("PASSWORD_VERSION", 1);  //パスワードロジック変更でカウントアップ
define("STRETCH_COUNT", 1000);


/*
* バージョンに合わせたパスワードを取得
*/
function get_password($version, $salt, $password) {
  switch ($version) {
    case 1:
      return get_md5_hash_password($salt, $password);
      break;
    
    case 2:
      return get_streched_password($salt, $password);
      break;

    default:
      die("バージョンエラー");
  }
}


/*
* パスワードをソルト＋MD5ハッシュ(Ver.1)
*/
function get_md5_hash_password($salt, $password) {
  return md5($salt . $password);
}


/*
* パスワードをソルト＋ストレッチング (Ver.2)
*/
function get_streched_password($salt, $password){
    $hash_pass = "";
 
    for ($i = 0; $i < STRETCH_COUNT; $i++){
        $hash_pass  = hash("sha256", ($hash_pass . $salt . $password));
     }
 
     return $hash_pass;
}
 
/*
* ソルトを作成
*/
function get_salt() {
  $TOKEN_LENGTH = 4;//4*2=8byte
  $bytes = openssl_random_pseudo_bytes($TOKEN_LENGTH);
  return bin2hex($bytes);
}

?>

<?php

define("DSN","mysql:host=localhost;dbname=Test;charset=utf8"); //文字エンコーディング必須

define("USERNAME", "user01”); //DBユーザーID

define("PASSWORD", "pass”); //DBユーザーパスワード

define("PASSWORD_VERSION", 1); //パスワードロジック変更でカウントアップ

define("STRETCH_COUNT", 1000);

* バージョンに合わせたパスワードを取得

function get_password($version, $salt, $password) {

switch ($version) {

case 1:

return get_md5_hash_password($salt, $password);

break;

case 2:

return get_streched_password($salt, $password);

break;

default:

die("バージョンエラー");

}

* パスワードをソルト＋MD5ハッシュ(Ver.1)

function get_md5_hash_password($salt, $password) {

return md5($salt . $password);

}

* パスワードをソルト＋ストレッチング (Ver.2)

function get_streched_password($salt, $password){

$hash_pass = "";

for ($i = 0; $i < STRETCH_COUNT; $i++){

$hash_pass = hash("sha256", ($hash_pass . $salt . $password));

}

return $hash_pass;

}

* ソルトを作成

function get_salt() {

$TOKEN_LENGTH = 4;//4*2=8byte

$bytes = openssl_random_pseudo_bytes($TOKEN_LENGTH);

return bin2hex($bytes);

}

・login.php

<?php
  require_once("function.php");
  session_start();
  header("Content-type: text/html; charset=utf-8");
 
?>
<!doctype html>
<html lang="ja">
<body>
  <h1>ログイン</h1>
  <?php
    if ($_SESSION["error_status"] == 1) {
      echo "<h2 style='color:red'>IDまたはパスワードが異なります。</h2>";
    }
    //エラー情報のリセット
    $_SESSION["error_status"] = 0;
  ?>
  <form action="login_check.php" method="post">
  <table border="0">
    <tr>
      <td>ID </td>
      <td><input type="text" name="id"></td>
    </tr>
    <tr>
    <td>
      Password
    </td>
    <td>
      <input type="password" name="password">
    </td>
    </tr>
   </table>
 
    <input type="submit" value="ログイン">
    <input type="reset" value="リセット">
  </form>
 
</body>
</html>

<?php

require_once("function.php");

session_start();

header("Content-type: text/html; charset=utf-8");

<!doctype html>

<body>

<?php

if ($_SESSION["error_status"] == 1) {

echo "<h2 style='color:red'>IDまたはパスワードが異なります。</h2>";

}

//エラー情報のリセット

$_SESSION["error_status"] = 0;

<tr>

</tr>

<tr>

<td>

Password

</td>

<td>

</td>

</tr>

</table>

</form>

</body>

</html>

・login_check.php

<?php
  require_once("function.php");
  session_start();
  header("Content-type: text/html; charset=utf-8");
 
  //パラメーター取得
  $id = $_POST['id'];
  $password = $_POST['password'];
 
  //ログイン判定
  try {
    //文字エンコーディングを必ず指定する
    $dbh = new PDO(DSN, USERNAME, PASSWORD);

    // 静的プレースホルダを指定
    $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
    
    // エラー発生時に例外を投げる
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
 
    $stmt = $dbh->prepare("SELECT * FROM USERS WHERE ID = ?;");

    $stmt->setFetchMode(PDO::FETCH_ASSOC);
    
    $stmt->bindParam(1,$id, PDO::PARAM_STR);
 
    $stmt->execute();

    $count = 0;
 
    while ($row = $stmt->fetch()) {
      $id = $row["ID"];
      $version = $row["VERSION"];
      $salt = $row["SALT"];
      $db_password = $row["PASSWORD"];
      $count++;
    }
 
    $dbh = null;

   //ログイン失敗
   if ($count != 1) {
    $_SESSION["error_status"] = 1;
    header("HTTP/1.1 301 Moved Permanently");
    header("Location: login.php");
    exit();
   }

   //パスワード生成
   $hash = get_password($version, $salt, $password);
 
   if ($hash == $db_password) {
    //ログイン成功
 
   //セッション ID の振り直し
   session_regenerate_id(true);
    
    //セッションに ID を格納
    $_SESSION['id'] = $id;
 
   //パスワードのバージョン更新処理
    if (PASSWORD_VERSION != $version) {
      update_password($id, $password);
    }

 
    //リダイレクト
    header("HTTP/1.1 301 Moved Permanently");
    header("Location: welcome.php");
   } else {
 
    //ログイン失敗
    $_SESSION["error_status"] = 1;
    header("HTTP/1.1 301 Moved Permanently");
    header("Location: login.php");
   }

  } catch(PDOException $e){
    echo $e->getMessage();
  }


  //パスワードの更新処理
function update_password($id, $password){
  try {
   //登録情報生成

    //バージョン(変数に入れないとPDOでエラー)
    $version = PASSWORD_VERSION;

    //ソルト
    $salt = get_salt();

    //パスワード生成
    $hash = get_password($version, $salt, $password);


    //文字エンコーディングを必ず指定する
    $dbh = new PDO(DSN, USERNAME, PASSWORD);

    // 静的プレースホルダを指定
    $dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
    
    // エラー発生時に例外を投げる
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
 
    $stmt = $dbh->prepare("UPDATE  USERS SET VERSION = ?, SALT = ?, PASSWORD = ? WHERE ID = ?;");

    $stmt->setFetchMode(PDO::FETCH_ASSOC);
    
    $stmt->bindParam(1, $version, PDO::PARAM_INT);
    $stmt->bindParam(2, $salt, PDO::PARAM_STR);
    $stmt->bindParam(3, $hash, PDO::PARAM_STR);
    $stmt->bindParam(4, $id, PDO::PARAM_STR);
 
    $stmt->execute();
    
  } catch(PDOException $e){
    echo $e->getMessage();
  }
}
 
?>

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

<?php

require_once("function.php");

session_start();

header("Content-type: text/html; charset=utf-8");

//パラメーター取得

$id = $_POST['id'];

$password = $_POST['password'];

//ログイン判定

try {

//文字エンコーディングを必ず指定する

$dbh = new PDO(DSN, USERNAME, PASSWORD);

// 静的プレースホルダを指定

$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

// エラー発生時に例外を投げる

$dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$stmt = $dbh->prepare("SELECT * FROM USERS WHERE ID = ?;");

$stmt->setFetchMode(PDO::FETCH_ASSOC);

$stmt->bindParam(1,$id, PDO::PARAM_STR);

$stmt->execute();

$count = 0;

while ($row = $stmt->fetch()) {

$id = $row["ID"];

$version = $row["VERSION"];

$salt = $row["SALT"];

$db_password = $row["PASSWORD"];

$count++;

}

$dbh = null;

//ログイン失敗

if ($count != 1) {

$_SESSION["error_status"] = 1;

header("HTTP/1.1 301 Moved Permanently");

header("Location: login.php");

exit();

}

//パスワード生成

$hash = get_password($version, $salt, $password);

if ($hash == $db_password) {

//ログイン成功

//セッション ID の振り直し

session_regenerate_id(true);

//セッションに ID を格納

$_SESSION['id'] = $id;

//パスワードのバージョン更新処理

if (PASSWORD_VERSION != $version) {

update_password($id, $password);

}

//リダイレクト

header("HTTP/1.1 301 Moved Permanently");

header("Location: welcome.php");

} else {

//ログイン失敗

$_SESSION["error_status"] = 1;

header("HTTP/1.1 301 Moved Permanently");

header("Location: login.php");

}

} catch(PDOException $e){

echo $e->getMessage();

}

//パスワードの更新処理

function update_password($id, $password){

try {

//登録情報生成

//バージョン(変数に入れないとPDOでエラー)

$version = PASSWORD_VERSION;

//ソルト

$salt = get_salt();

//パスワード生成

$hash = get_password($version, $salt, $password);

//文字エンコーディングを必ず指定する

$dbh = new PDO(DSN, USERNAME, PASSWORD);

// 静的プレースホルダを指定

$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

// エラー発生時に例外を投げる

$dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

$stmt = $dbh->prepare("UPDATE USERS SET VERSION = ?, SALT = ?, PASSWORD = ? WHERE ID = ?;");

$stmt->setFetchMode(PDO::FETCH_ASSOC);

$stmt->bindParam(1, $version, PDO::PARAM_INT);

$stmt->bindParam(2, $salt, PDO::PARAM_STR);

$stmt->bindParam(3, $hash, PDO::PARAM_STR);

$stmt->bindParam(4, $id, PDO::PARAM_STR);

$stmt->execute();

} catch(PDOException $e){

echo $e->getMessage();

}

・welcome.php

<?php
  session_start();
  header("Content-type: text/html; charset=utf-8");
  
  //強制ブラウズはリダイレクト
  if (!isset($_SESSION['id'])){
    $_SESSION["error_status"] = 2;
    header("HTTP/1.1 301 Moved Permanently");
    header("Location: login.php");
    exit();
  }
 
  //エラー情報リセット
  $_SESSION["error_status"] = 0;
?>
 
<html>
<body>
  <h1>ようこそ</h1>
</body>
</html>

<?php

session_start();

header("Content-type: text/html; charset=utf-8");

//強制ブラウズはリダイレクト

if (!isset($_SESSION['id'])){

$_SESSION["error_status"] = 2;

header("HTTP/1.1 301 Moved Permanently");

header("Location: login.php");

exit();

}

//エラー情報リセット

$_SESSION["error_status"] = 0;

<html>

<body>

</body>

</html>

解説

ほぼコードを見たままなので、細かい解説はあまり必要ないかと思いますが、パスワード保存ロジックのバージョンが変わった場合は、function.php の PASSWORD_VERSION 定数をカウントアップし、get_password 関数をアップデートします。

これで、パスワード保存ロジックが変更になっても、自動的にパスワード保存ロジックが最新のデータに反映されるようになります。

但し、ログインしないユーザーはデータが更新されないので、リセットフラグを設定して、一定期間経過後パスワードが変更されないユーザーには、ログイン依頼メールを送信するというのが現実的な対応でしょう。

なお、PHP 5.5.0 からは、これらの処理を自動で行ってくれる password-hash 関数があるので、こちらの使用がいろいろなサイトで推奨されています。

ただ個人的には、面倒でもこの記事にある方法で対応した方が柔軟性が高くてよいのではないかと考えています。言語も関係ありませんし、ストレッチングの回数を増やすといった対応もできますし。

おわりに

PHP + PDO + MySQL で、Web アプリケーションのパスワード保存ロジック変更時に対応が可能な実装方法を見てきましたが、いかがだったでしょうか。テーブルにバージョンフィールドを追加するだけで、思ったより簡単に対応できることが分かります。

ですので、現在パスワードの保存方法に不安がある方は、こういう簡単な方法があるということで安全なパスワード保存方法へ移行するとよいかと思います。

参考

体系的に学ぶ安全なWebアプリケーションの作り方

« phpMyAdmin に２段階認証を導入する方法(Google Authenticator 版)

PHP + PDO + MySQL のトランザクション制御方法まとめ »

カテゴリー:ブログ

Twitter でも、いろんな情報を発信しています。
@fnyaさんをフォロー

Webセキュリティの小部屋