Bcrypt في PHP: كيفية تجزئة كلمات المرور بسرعة وبدون أخطاء

Bcrypt في PHP: كيفية تجزئة كلمات المرور بسرعة وبدون أخطاء

هل تساءلت يومًا لماذا موقعك على PHP يتباطأ عند تسجيل المستخدمين؟ أو الأسوأ من ذلك، لماذا لا يزال المخترقون يتمكنون من سرقة كلمات المرور من قاعدة البيانات الخاصة بك؟ قد تكمن الإجابة في كيفية استخدامك لـ bcrypt لتجزئة كلمات المرور في PHP.

هذا السؤال هو واحد من أكثر الأسئلة شيوعًا على Stack Overflow (آلاف المشاهدات!). وليس من المستغرب: أمان كلمات المرور هو الموضوع الذي يمكن لخطأ واحد فيه أن يكلفك سمعتك، والمستخدمين بياناتهم. لكن اليوم لن نكتفي بشرح كيفية استخدام password_hash مع bcrypt. سنتحدث عن التحسين والأداء. لأنه، كما توافقون، الانتظار لمدة 5 ثوانٍ عند تسجيل الدخول ليس أمرًا جيدًا.

دعنا نفهم كيف نجعل تجزئة كلمات المرور في PHP ليس فقط آمنة، بل سريعة أيضًا. هيا بنا!

لماذا bcrypt؟ ولماذا ليس MD5 أو SHA؟

لا يزال العديد من المبتدئين (وللأسف، بعض "المخضرمين") يستخدمون md5() أو sha1(). هذا مثل إغلاق الباب بمزلاج بلاستيكي - يبدو مغلقًا، لكن يكفي أن تنفخ عليه ليفتح. MD5 و SHA هما تجزئات سريعة. سريعة جدًا. يمكن للمخترق باستخدام GPU حديث أن يجرب مليارات من هذه التجزئات في الثانية.

Bcrypt هو نهج مختلف جوهريًا. لقد تم تصميمه ليكون بطيئًا عن قصد. يستخدم "ملحًا" (بيانات عشوائية) و "عامل تكلفة" (cost factor) يجبر الخوارزمية على العمل لفترة أطول. بينما يحسب المخترق تجزئة bcrypt واحدة، كان بإمكانه تجربة مليون تجزئة MD5. لهذا السبب يعتبر bcrypt المعيار الفعلي لـ PHP.

الأساسيات: كيفية استخدام bcrypt في PHP بشكل صحيح

بدءًا من PHP 5.5، لدينا الدالة السحرية password_hash(). انسَ الإضافة اليدوية للملح واستدعاء crypt() - كل شيء تم إنجازه من أجلك.

إليك كيف تبدو تجزئة كلمة المرور الصحيحة باستخدام bcrypt:

<?php\n// تجزئة كلمة المرور\n$password = 'MySuperSecretPassword123!';\n$hash = password_hash($password, PASSWORD_BCRYPT);\n\necho $hash;\n// الإخراج: $2y$10$... (سلسلة بطول 60 حرفًا)\n?>

هذا كل شيء! تقوم password_hash بتوليد ملح عشوائي بنفسها وتختار عامل التكلفة الأمثل (الافتراضي هو 10). ولكن كيف تتحقق من كلمة المرور عند تسجيل الدخول؟

<?php\n// التحقق من كلمة المرور\n$inputPassword = 'MySuperSecretPassword123!';\n$hashFromDB = '$2y$10$...'; // نفس التجزئة من قاعدة البيانات\n\nif (password_verify($inputPassword, $hashFromDB)) {\n    echo "كلمة المرور صحيحة! مرحبًا بك.";\n} else {\n    echo "كلمة مرور خاطئة. حاول مرة أخرى.";\n}\n?>

بسيط، أليس كذلك؟ لكن الشيطان، كما هو الحال دائمًا، يكمن في التفاصيل. دعنا نتحدث عن الأهم - الأداء.

تحسين bcrypt: كيفية إيجاد التوازن بين الأمان والسرعة

المعامل الرئيسي الذي يؤثر على أداء bcrypt في PHP هو عامل التكلفة (cost factor). يتم تعيينه كوسيط ثانٍ في password_hash() كمصفوفة ['cost' => 12].

ما هو cost؟ إنه مقياس لوغاريتمي. كل وحدة تزيد وقت التنفيذ بمقدار الضعف تقريبًا.

\n
• Cost = 10 (الافتراضي): ~0.1-0.2 ثانية. سريع، لكنه قليل جدًا لعام 2024.
\n
• Cost = 12: ~0.4-0.8 ثانية. توازن جيد لمعظم المشاريع.
\n
• Cost = 14: ~1.5-3 ثوانٍ. آمن جدًا، لكن المستخدمين سيبدأون في التوتر.
\n
• Cost = 16+: >5 ثوانٍ. فقط إذا كنت جاسوسًا أو تخزن رموزًا نووية.
\n

كيف تختار cost المثالي؟ هناك قاعدة بسيطة: على خادمك، يجب ألا تستغرق تجزئة كلمة مرور واحدة أكثر من 250-500 مللي ثانية. هذا غير ملحوظ للمستخدم، لكنه يجعل هجوم التخمين مكلفًا جدًا للمخترق.

اختبار الأداء