Hashing

Wat is hashing

Hashing is het proces waarbij platte tekst, zoals wachtwoorden, via een eenrichtingstransformatie wordt omgezet in een string met vaste lengte. Dezelfde invoer levert altijd dezelfde hash op, maar je kunt de oorspronkelijke platte tekst niet uit de hash herleiden. De Hash-facade van Laravel ondersteunt de hashalgoritmen bcrypt en Argon2 voor het veilig opslaan van wachtwoorden.

Vergelijking van algoritmen

Algoritme	Kenmerken	Aanbevolen gebruik
bcrypt	Rekenkosten instelbaar via de workfactor (rounds). Standaard	Algemene webapplicaties
argon2i	Geheugen, tijd en aantal threads instelbaar. Bestand tegen side-channel-aanvallen	Situaties waarin hoge beveiliging vereist is
argon2id	Hybride van argon2i en argon2d. Aanbevolen door PHC	Nieuwe projecten die Argon2 gebruiken

De “workfactor” van bcrypt bepaalt hoelang het genereren van een hash duurt. Hoe trager de hash, hoe beter de weerstand tegen brute-force-aanvallen. Door de workfactor te verhogen naarmate hardware sneller wordt, houd je de beveiliging op peil.

Flow van hashen en verifiëren

Configuratie

Standaard gebruikt Laravel de bcrypt-driver. Je kunt dit wijzigen met de omgevingsvariabele HASH_DRIVER.

# .env
HASH_DRIVER=bcrypt  # bcrypt / argon / argon2id

Wil je de hashconfiguratie aanpassen, publiceer dan het configuratiebestand met config:publish.

php artisan config:publish hashing

Na het publiceren kun je in config/hashing.php onder andere de standaard workfactor wijzigen.

Basisgebruik

Een wachtwoord hashen

Geef de platte tekst van het wachtwoord door aan Hash::make() en je krijgt de hashwaarde terug. Deze hashwaarde sla je op in de database.

<?php

namespace App\Http\Controllers;

use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Hash;

class PasswordController extends Controller
{
    public function update(Request $request): RedirectResponse
    {
        $request->validate([
            'password' => ['required', 'min:8', 'confirmed'],
        ]);

        $request->user()->fill([
            'password' => Hash::make($request->password),
        ])->save();

        return redirect('/profile');
    }
}

Sla de hashwaarde op in de database, maar sla nooit het wachtwoord in platte tekst op.

De bcrypt-workfactor aanpassen

Met de optie rounds pas je de rekenkosten van het hashen aan. Hoe hoger de waarde, hoe veiliger, maar ook hoe langer de verwerking duurt. De standaardwaarde (12) is geschikt voor de meeste applicaties.

$hashed = Hash::make('plain-text-password', [
    'rounds' => 14,
]);

De Argon2-workfactor aanpassen

Gebruik je Argon2, dan kun je de rekenkosten aanpassen met de opties memory, time en threads.

$hashed = Hash::make('plain-text-password', [
    'memory'  => 65536, // in KiB
    'time'    => 4,
    'threads' => 2,
]);

Optie	Beschrijving	Standaard
`memory`	Hoeveelheid gebruikt geheugen (KiB)	65536
`time`	Aantal iteraties	4
`threads`	Aantal gebruikte threads	1

Zie de officiële PHP-documentatie voor meer informatie over de Argon2-opties.

Wachtwoorden verifiëren

Met Hash::check() controleer je of een wachtwoord in platte tekst overeenkomt met de opgeslagen hash. Een typisch voorbeeld binnen een inlogproces:

use Illuminate\Support\Facades\Hash;

if (Hash::check($request->password, $user->password)) {
    // Wachtwoord komt overeen
} else {
    // Wachtwoord komt niet overeen
}

Gebruik je Auth::attempt(), dan gebeurt deze controle automatisch en hoef je hem niet zelf aan te roepen. Hash::check() is vooral handig wanneer je handmatig het huidige wachtwoord wilt controleren.

// Voorbeeld: het huidige wachtwoord controleren in een wachtwoord-wijzigformulier
if (! Hash::check($request->current_password, $request->user()->password)) {
    return back()->withErrors(['current_password' => 'Het huidige wachtwoord is onjuist.']);
}

Bepalen of rehashen nodig is

Met Hash::needsRehash() controleer je of de workfactor waarmee de hash is gegenereerd afwijkt van de huidige configuratie. Dit gebruik je om bestaande hashes bij te werken met de nieuwe instellingen nadat je de workfactor hebt gewijzigd.

use Illuminate\Support\Facades\Hash;

if (Hash::needsRehash($user->password)) {
    $user->update([
        'password' => Hash::make($plainTextPassword),
    ]);
}

Een voorbeeld waarbij je rehasht na een geslaagde login:

// Rehashen binnen het inlogproces
if (Auth::attempt($credentials)) {
    if (Hash::needsRehash(Auth::user()->password)) {
        Auth::user()->update([
            'password' => Hash::make($credentials['password']),
        ]);
    }

    return redirect()->intended('/dashboard');
}

Herzie de workfactor regelmatig naarmate hardware sneller wordt, zodat de beveiliging op peil blijft. Door needsRehash() te gebruiken kun je wachtwoorden op een natuurlijk moment bijwerken: wanneer de gebruiker inlogt.

Verificatie van het hashalgoritme

Standaard verifieert Hash::check() of de hash is gegenereerd met het momenteel geconfigureerde algoritme. Wijkt het algoritme af, dan wordt een RuntimeException gegooid. Dit voorkomt aanvallen via manipulatie van het hashalgoritme. Moet je meerdere algoritmen tegelijk ondersteunen, bijvoorbeeld tijdens een migratie naar een ander algoritme, dan kun je deze verificatie uitschakelen door HASH_VERIFY op false te zetten.

# .env
HASH_VERIFY=false

Met HASH_VERIFY=false is de algoritmeverificatie uitgeschakeld. Gebruik dit alleen tijdens de migratieperiode en zet het na afronding weer terug naar true (de standaard).

Samenvatting

Wat je wilt doen	Hoe
Een wachtwoord hashen	`Hash::make($password)`
Een hash verifiëren	`Hash::check($plain, $hash)`
Controleren of rehashen nodig is	`Hash::needsRehash($hash)`
De hashdriver wijzigen	Omgevingsvariabele `HASH_DRIVER`
Algoritmeverificatie uitschakelen	`HASH_VERIFY=false`

Volgende stappen

Introductie tot authenticatie

Leer het volledige plaatje van authenticatie, waaronder het implementeren van een inlogproces met Hash::check().

Architectuur

Database

Eloquent

Beveiliging

Events

E-mail en notificaties

Betalingen

Asynchrone verwerking

Realtime communicatie

Taakplanning

Caching en optimalisatie

Internationalisatie

Bestanden en opslag

Debugging en monitoring

Console en CLI

Performance

Frontend

AI-ontwikkeling

Ontwikkelomgeving

Wat is hashing

Vergelijking van algoritmen

Flow van hashen en verifiëren

Configuratie

Basisgebruik

Een wachtwoord hashen

De bcrypt-workfactor aanpassen

De Argon2-workfactor aanpassen

Wachtwoorden verifiëren

Bepalen of rehashen nodig is

Verificatie van het hashalgoritme

Samenvatting

Volgende stappen

Introductie tot authenticatie

​Wat is hashing

​Vergelijking van algoritmen

​Flow van hashen en verifiëren

​Configuratie

​Basisgebruik

​Een wachtwoord hashen

​De bcrypt-workfactor aanpassen

​De Argon2-workfactor aanpassen

​Wachtwoorden verifiëren

​Bepalen of rehashen nodig is

​Verificatie van het hashalgoritme

​Samenvatting

​Volgende stappen

Introductie tot authenticatie

Wat is hashing

Vergelijking van algoritmen

Flow van hashen en verifiëren

Configuratie

Basisgebruik

Een wachtwoord hashen

De bcrypt-workfactor aanpassen

De Argon2-workfactor aanpassen

Wachtwoorden verifiëren

Bepalen of rehashen nodig is

Verificatie van het hashalgoritme

Samenvatting

Volgende stappen