[Java] hashPassword & verifyPassword?

[Olaf van der Spek]

Wat zijn de Java equivalenten van PHP's password_hash en password_verify functies?

Je kunt aan de slag met SecretKeyFactory en PBEKeySpec maar dat moet toch simpeler kunnen. Een foutje is zo gemaakt en zeker bij crypto wil je dat gewoon niet.

http://php.net/manual/en/function.password-hash.php
http://php.net/manual/en/function.password-verify.php
https://stackoverflow.com...i-hash-a-password-in-java

[Merethil]

Ik gebruik scrypt, een goede thirdparty library die best makkelijk in gebruik is:

https://github.com/wg/scrypt

[DJMaze]

password_hash en password_verify = bcrypt
Hou er rekening mee dat vanaf PHP 7.2 ook Argon2i mogelijk is.
scrypt wordt niet ondersteund en is dus geen equivalent

Gewoon zoeken en je vindt het:
https://www.google.nl/search?q=java+bcrypt
https://www.google.nl/search?q=java+argon2

[ Voor 11% gewijzigd door DJMaze op 30-01-2018 23:52 ]

[Kwistnix]

De BouncyCastle crypto API wordt (in mijn ervaring) veel gebruikt voor dit soort dingen. Hetzij direct of indirect. Apache Shiro is een nuttige abstractie voor veel security gerelateerde zaken en kan BouncyCastle als JCA Provider gebruiken.

[Hydra]

https://www.owasp.org/index.php/Hashing_Java

Java heeft de meeste bekende hashing algorithms aan boord. Bovenstaande geeft voorbeelden hoe je het op een veilige manier doet. Mocht je een specifiek algoritme hebben dat Java standaard niet aan boord heeft dan is Bouncy Castle een beetje de de facto externe library

Merethil schreef op dinsdag 30 januari 2018 @ 22:19:
Ik gebruik scrypt, een goede thirdparty library die best makkelijk in gebruik is:

https://github.com/wg/scrypt

Die gebruikt native interfaces die je niet nodig hebt. Zou ik links laten liggen tenzij je een goeie reden hebt specifiek die native implementatie te willen gebruiken.

[ Voor 60% gewijzigd door Hydra op 31-01-2018 18:30 ]

[Merethil]

Hydra schreef op woensdag 31 januari 2018 @ 18:28:
https://www.owasp.org/index.php/Hashing_Java

Java heeft de meeste bekende hashing algorithms aan boord. Bovenstaande geeft voorbeelden hoe je het op een veilige manier doet. Mocht je een specifiek algoritme hebben dat Java standaard niet aan boord heeft dan is Bouncy Castle een beetje de de facto externe library


[...]


Die gebruikt native interfaces die je niet nodig hebt. Zou ik links laten liggen tenzij je een goeie reden hebt specifiek die native implementatie te willen gebruiken.

Ah eigenlijk plemp ik hem altijd in mijn hobbyprojectjes omdat ik 'm makkelijk in gebruik vind en technisch volgens bronnen veiliger leek ofzo (ooit gelezen ergens, weet niet waar)
Heb eigenlijk maar heel weinig gedaan met hashing in het algemeen, voor m'n werk gebruiken we ingebouwde functies van het platform dat we gebruiken.