Zayıf özet algoritması (ARCH7111)

Anahtar php.security.weak-hash · Önem error · Kategori security · CWE CWE-328

MD5 ve SHA-1 kriptografik olarak kırılmıştır ve çakışmalara açıktır. Bütünlük veya imza gibi güvenlik amaçları için bunları kullanmak korumayı geçersiz kılar; SHA-256 veya daha güçlü bir algoritma kullanılmalıdır.

Hatalı

<?php
$digest = md5($payload);
$sig = sha1($secret . $payload);

Doğru

<?php
$digest = hash('sha256', $payload);
$sig = hash_hmac('sha256', $payload, $secret);

Düzeltme

Güvenlik amaçlı özetleme için MD5/SHA-1 yerine SHA-256 ve üstünü; mesaj kimlik doğrulaması için hash_hmac() kullanın.