security - パスワードハッシュを移行する方法は？

Question

ソルトされたMD5ハッシュとしてパスワードを保存しているが、bcryptを使用するようにパスワードを移動したい場合、その移行を実行するための最良の方法は何ですか？（パスワードを取り戻すことができない場合）

md5ハッシュをbcryptする必要がありますか？私が望まないことを行うことには暗号的な意味がありますか？

Answer 1

通常、サイトはユーザーにパスワードを変更させるだけです。ユーザーテーブルにhash_versionフィールドを追加すると、現在のハッシュタイプを追跡できます。MD5を使用している人がログインしたら、パスワードを変更してもらいます。

一定の時間が経過すると、オプションで残りのすべてのMD5パスワードを期限切れにすることができます（ユーザーにログインをリセットするように強制します）。