Zayıf KDF yineleme sayısı (ARCH7116)

Anahtar php.security.weak-kdf-iterations · Önem warning · Kategori security · CWE CWE-916

Parola anahtar türetme fonksiyonunu çok düşük yineleme/maliyet değeriyle ya da hızlı bir özetle kullanmak, kaba kuvvet saldırılarına karşı direnci zayıflatır. Modern, ayarlanmış bir maliyet faktörü gerekir.

Hatalı

<?php
$hash = hash_pbkdf2('sha256', $password, $salt, 1000, 32);
// veya hızlı özet: md5($password)

Doğru

<?php
$hash = password_hash($password, PASSWORD_BCRYPT, ['cost' => 12]);
// veya Argon2id:
// $hash = password_hash($password, PASSWORD_ARGON2ID);

Düzeltme

Parolalar için password_hash() ile bcrypt/Argon2id kullanın ve maliyet/yineleme faktörünü güncel öneriler doğrultusunda yükseltin.