ハッシュ値を取得する場合に鍵またはsaltとなる情報とデータを文字列連結すると、ハッシュの分析を許してしまう。リスクを軽減するためには鍵またはsaltとなる情報とデータを文字列連結しない。

$key = 'random key';
$data = 'Some Data';
$hash = hash('sha2-256', $data . $key);

$key = 'random key';
$data = 'Some Data';
$hash = hash_hmac('sha2-256', $data , $key);

hash_hkdf()の$info引数はハッシュのセキュリティに影響しない引数として設計されている。このため、$info引数にはどのような値を設定してもよい。

[ルール／推奨事項のリスク評価]

[評価例 - 英語表記に統一]

• https://www.ietf.org/rfc/rfc2104.txt

• http://php.net/manual/en/function.hash.php
• http://php.net/manual/en/function.hash-hmac.php
• http://php.net/hash_hkdf