md5() 또는 sha1() 사용

위험도: 중간 CWE-916 OWASP A02:2021 Cryptographic Failures rule: weak_hash

왜 위험한가요

md5와 sha1은 계산이 빨라서 유출된 비밀번호 해시를 초당 수십억 번씩 대입해 풀 수 있습니다. password_hash()는 일부러 느리게 동작하고 솔트가 들어갑니다.

✕ 취약한 코드

$hash = md5($password);

✓ 안전한 코드

$hash = password_hash($password, PASSWORD_DEFAULT);

// at login
if (password_verify($input, $hash)) {
    // signed in
}

체크섬엔 괜찮지만 비밀번호엔 절대 쓰지 마세요. password_hash()와 password_verify()를 쓰세요.

내 코드 검사하기

파일을 붙여넣으면 이 규칙에 걸리는 줄을 모두 찾아드립니다.