во-первых, я сомневаюсь в этой рекомендации (корректировка стоимости на основе года). Стоимость должна основываться на том, насколько быстро ваше оборудование, а не на текущей дате. Если вы не обновите свой сервер до 2015 года, нет оснований для увеличения стоимости. Все, что вы делаете, это замедляете и без того медленный процесс.

С учетом сказанного, я также сомневаюсь в рекомендации 1 секунды для большинства обычаев. Если вы имеете дело с высокочувствительной информацией, 1 секунда (или, возможно, дольше) в порядке. Но для средний веб-сайт, я обычно рекомендую от 0,25 до 0,5 секунды. В некоторых случаях вы можете пойти ниже, но я бы не стал без веских оснований.

теперь сам вопрос. Когда вы используете crypt() или password_hash(), количество итераций хранится в формате возвращаемого хэша. На самом деле, соль тоже. Таким образом, вся информация, необходимая для вычисления хэша, включена в него!

и если вы не используете ни один из этих API (или polyfill что я утверждаю: пароль-compat), тогда я действительно должен задаться вопросом, почему вы этого не делаете. Не изобретайте свой собственный пароль crypto. Не используйте библиотеки, использующие собственные хэши (например, phpass), если у вас нет веских причин (по определенным причинам соответствия требованиям правительства или совместимости с PHP

обычно считается, что bcrypt является самым сильным хэш-форматом сегодня. SCrypt сильнее, но есть некоторые проблемы с ним, и он все еще очень новый (и это не так доступен в PHP ядро пока). Поэтому просто используйте bcrypt...

на password_hash() api имеет механизм для вас, чтобы сделать то, что вы просите:password_needs_rehash(). В принципе, вы передаете хэш и параметры, которые вы используете сегодня, и он говорит вам, если вам нужно перефразировать его:

if (password_verify($password, $hash)) {
    if (password_needs_rehash($hash, PASSWORD_BCRYPT, ['cost' => 14])) {
        $hash = password_hash($password);
        update_password_in_database($hash);
    }
    $loggedin = true;
}

читать RFC для password_hash () для получения дополнительной информации об этом (я собрал данные из большого количества источников, и упоминается в RFC).

редактировать-следить к комментарию @AnotherParker:

преступники не перестают обновлять свои crackingboxes только потому, что вы не обновили свой сервер. Вам нужно увеличить параметр работы с течением времени, чтобы предотвратить автономные атаки.

сортировка-правда. Да, верно, но упускает смысл того, о чем я говорил выше.

параметр стоимости хэш-функции является компромиссом временных усилий. Вы обмениваете некоторое время, чтобы добавить дополнительные усилия к каждому хэшу. На то же самое оборудование, требующее больше времени, даст больше работы. Другой способ получить больше работы - получить более быстрое оборудование.

но рекомендуется протестировать хэш-функцию на вашем текущем оборудовании и сделать ее настолько дорогой, насколько это возможно. Если 0,5 секунды-это максимум, что вы можете себе позволить сегодня, если вы не обновите серверное оборудование, как увеличение стоимости поможет вам? Короче говоря, это не будет, потому что вы нарушите максимальный срок, который вы уже определили очень важный.

таким образом, вы не можете увеличить рабочий параметр без увеличения возможностей сервера, если вы уже не производили слабые хэши.

кроме того, проверьте этот ответ на эту тему