Hash Kata Sandi, Jangan Pernah Simpan Teks Biasa

Jika Anda menyimpan kata sandi sebagai teks biasa, satu kebocoran basis data akan memberikan semua akun kepada penyerang sekaligus. Aturan pertama autentikasi sederhana: jangan pernah menyimpan kata sandi mentah. 🔒

Anda melindungi kata sandi dengan hashing, yaitu transformasi satu arah. Berbeda dari enkripsi, hash tidak dapat dikembalikan menjadi kata sandi asli, bahkan oleh Anda.

Flask disertai Werkzeug, yang menyediakan dua pembantu untuk keamanan kata sandi. Anda mengimpornya langsung dari modul keamanannya, tanpa perlu memasang apa pun lagi.

Ketika pengguna mendaftar, jalankan generate_password_hash pada kata sandinya dan simpan hanya hasilnya. Teks biasa tidak pernah menyentuh basis data Anda.

generate_password_hash menambahkan salt acak untuk Anda. Itulah sebabnya dua pengguna dengan kata sandi yang sama mendapatkan hash tersimpan yang sepenuhnya berbeda.

Saat masuk, Anda tidak dapat mengembalikan hash ke bentuk semula. Sebagai gantinya, panggil check_password_hash dengan hash tersimpan dan kata sandi yang diketik untuk mendapatkan True atau False.

Ingat urutannya: hash tersimpan berada di awal, lalu kata sandi yang diberikan pengguna. Menukarnya akan diam-diam merusak setiap upaya masuk.

Secara bawaan, Werkzeug sengaja menggunakan algoritme yang kuat dan lambat. Kelambatan adalah fitur di sini karena membuat tebakan dengan metode coba-coba jauh lebih mahal.

Tabel pengguna Anda hanya memerlukan satu kolom password_hash. Anda tidak memerlukan kolom salt terpisah karena salt sudah tertanam dalam string hash itu sendiri.

Trik yang rapi adalah menempatkan metode set_password pada model User agar hashing berada di satu tempat dan rute Anda tetap rapi.

Bahkan saat men-debug, jangan mencetak atau mencatat kata sandi mentah. Satu baris catatan yang tertinggal dapat membocorkan kredensial sama parahnya dengan kebocoran basis data.

Anda mempelajari cara melakukan hash dengan generate_password_hash, menyimpan hanya hasilnya, dan memverifikasi dengan check_password_hash. Kata sandi teks biasa telah hilang untuk selamanya. 🎉