md5() または sha1() の使用

深刻度: 中 CWE-916 OWASP A02:2021 Cryptographic Failures rule: weak_hash

なぜ危険か

md5やsha1は高速なため、漏えいしたパスワードハッシュは毎秒数十億回の試行で解読されます。password_hash()は意図的に遅く、ソルト付きです。

✕ 脆弱なコード

$hash = md5($password);

✓ 安全なコード

$hash = password_hash($password, PASSWORD_DEFAULT);

// at login
if (password_verify($input, $hash)) {
    // signed in
}

チェックサムには可、パスワードには不可。password_hash() を使いましょう。

コードを検査する

ファイルを貼り付けると、このルールに該当する行をすべて示します。