PHP PDO ŞİFRE GÜVENLİĞİ - HASHING

Web uygulamalarında kullanıcı şifrelerinin güvenliği en kritik konulardan biridir. Şifrelerin düz metin (plain text) olarak veritabanında tutulması, sistemin ele geçirilmesi durumunda tüm kullanıcı hesaplarının tehlikeye girmesine neden olur.

Bu nedenle PHP uygulamalarında:

• Şifreleme (encryption) değil

• Hashleme (hashing) kullanılmalıdır.

Şifreleme (Encryption) ve Hashleme (Hashing) Arasındaki Fark

Verileri şifrelemek için HASHING yöntemi dışında  md5($sifre); sha1($sifre); hash('sha256', $sifre); yöntemleri kullanılır. 

Şifreler asla geri çözülebilir şekilde saklanmamalıdır.   Bu yüzden php hashleme yöntemi tercih edilmelidir..

Güvensiz Yöntemler

md5($sifre); sha1($sifre); hash('sha256', $sifre); gibi yöntemler  Salt anahtarı  olmadığı, Rainbow table saldırılarına açık oldukları ve çok hızlı çalışıtıkları için HASHING yöntemibne nazaran güvensizdir.

❌ Modern uygulamalarda kesinlikle kullanılmamalıdır

PHP’de Güvenli Şifre Hashleme (Önerilen Yöntem)

PHP, şifre güvenliği için özel fonksiyonlar sunar:

✔ password_hash()

✔ password_verify()

Bu fonksiyonlar:

• Otomatik salt ekler

• Güçlü algoritmalar kullanır

• PHP sürümleriyle güncel kalır
  
  
  

password_hash() ile Şifre Kaydetme

password_hash() fonksiyonu ile gelen şifre verisi, HASH yöntemi ile şifrelenir..

Kullanıcı Kayıt Örneği (PDO)

$sifre = $_POST['sifre'];

$hashliSifre = password_hash($sifre, PASSWORD_DEFAULT);

$sql = "INSERT INTO users (username, password) VALUES (:username, :password)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
    ':username' => $_POST['username'],
    ':password' => $hashliSifre
]);

PASSWORD_DEFAULT:

• Güncel PHP sürümünde en güvenli algoritmayı seçer

• Şu an genellikle bcrypt veya argon2

Algoritma Seçenekleri

a) Bcrypt

password_hash($sifre, PASSWORD_BCRYPT);

b) Argon2 (PHP 7.2+)
password_hash($sifre, PASSWORD_ARGON2ID);

***Argon2ID, günümüzde en güvenli kabul edilen algoritmalardan biridir.

Kullanıcı Girişi (Şifre Doğrulama)

Hashing yöntemi ile Şifre karşılaştırılmaz, doğrulanır.

$sql = "SELECT password FROM users WHERE username = :username";
$stmt = $pdo->prepare($sql);
$stmt->execute([
    ':username' => $_POST['username']
]);

$user = $stmt->fetch();

if ($user && password_verify($_POST['sifre'], $user['password'])) {
    echo "Giriş başarılı";
} else {
    echo "Hatalı kullanıcı adı veya şifre";
}

password_verify():

• Hash içindeki salt’ı otomatik çözer

• Güvenli karşılaştırma yapar

Salt Nedir ve Neden Önemlidir?

Salt, her şifreye eklenen rastgele bir değerdir.

Örnek:

123456 + X9#fA

Avantajları:

• Aynı şifreler bile farklı hash üretir

• Rainbow table saldırılarını engeller

*** password_hash() bunu otomatik yapar, ekstra işlem gerekmez.

Şifre Güncelleme (Rehash)

Zamanla algoritmalar güçlenebilir. PHP bunu kontrol edebilir:

if (password_needs_rehash($hash, PASSWORD_DEFAULT)) {
    $newHash = password_hash($sifre, PASSWORD_DEFAULT);
}

Güvenlik İçin Ek Tavsiyeler

✔ Şifre minimum uzunluk: 8–12 karakter
✔ Büyük harf, küçük harf, rakam, özel karakter
✔ HTTPS kullan
✔ Login deneme sınırı koy
✔ SQL Injection için PDO + prepared statements kullan

Özetle

PHP PDO ile şifre saklarken:

• ❌ md5, sha1 kullanma

• ❌ Düz metin saklama

• ✅ password_hash() kullan

• ✅ password_verify() ile doğrula

• ✅ PASSWORD_DEFAULT veya ARGON2ID tercih et

Görüşmek üzere..