Generator .htpasswd
Pentru protecția cu parolă a unui director pe server: scrii utilizatorul și parola și primești rândul gata de pus în fișierul .htpasswd.
Formatele
Documentația Apache httpd 2.4 descrie formatele pe care le recunoaște serverul. bcrypt ($2y$) e cel pe care documentația lui htpasswd îl numește „foarte sigur” în prezent; costul îl alegi tu (Apache are implicit 5, aici pornește de la 10). MD5 ($apr1$) e algoritmul propriu al Apache, implicit în htpasswd. SHA-512 și SHA-256 ($6$, $5$) sunt formatele crypt ale sistemelor Unix, pe care Apache le folosește prin funcția crypt() a sistemului, deci nu merg pe orice platformă. SHA-1 ({SHA}) e un hash simplu, fără sare: Apache îl numește nesigur.
Rezultatul e un rând utilizator:hash. Pune câte un rând pentru fiecare utilizator în fișierul .htpasswd; Descarcă îl salvează ca fișier, dar browserul nu păstrează punctul din fața numelui: redenumește-l .htpasswd.
Verificarea
Lipește un rând din fișier (sau doar hash-ul) și parola: afli dacă se potrivesc și în ce format e scris rândul. Recunoaște bcrypt, MD5 apr1, SHA-256 și SHA-512 crypt și SHA-1.
Parola rămâne la tine
Hash-urile se calculează în browserul tău: parola nu e trimisă nicăieri. Algoritmii MD5 apr1 și SHA crypt sunt scriși de noi și dau exact rezultatele programului openssl passwd; bcrypt vine din biblioteca bcryptjs.
Întrebări frecvente
Merge și pentru nginx?
nginx citește același fel de fișier pentru auth_basic_user_file; ce formate de hash acceptă depinde de versiunea lui și de sistem, așa că verifică în documentația serverului tău.
De ce iese alt hash pentru aceeași parolă?
Pentru că fiecare rând primește o sare nouă, aleatorie. La verificare, sarea e citită din hash, deci toate rândurile acelea sunt corecte pentru aceeași parolă. Excepția e SHA-1: nu are sare, deci dă de fiecare dată același rând.