[PHP]logowanie z użyciem md5 Opcje

[kubek15]

Witam. Zrobiłem sobie logowanie na sesjach i nie wiem czy dobrze mi to wyszło z tą funkcja md5?
W pliku ustawieni mam

[PHP] pobierz, plaintext 
<?php
$login = "d1fc87192248ede50eb27fc2398e3606"; // login w md5
$pass = "82a0756393gf6f2279c7980d4e14510d";  // haslo w md5
?>
[PHP] pobierz, plaintext 

i funkcja która to sprawdza

[PHP] pobierz, plaintext 
<?php
if($_POST['logowanie']){
  $wys_login = md5($_POST['login']);
  $wys_pass = md5($_POST['haslo']);
  if($wys_login == $login && $wys_pass == $pass){
    $_SESSION['user'] = $nick;
  }
}
?>
[PHP] pobierz, plaintext 

Dobrze to jest czy źle? Bo działa ale niewiem czy jest to coś zabezpieczone. Czy w ustawieniach mam trzymac w md5 czy normalnie?

Proszę o pomoc a nie linki do google i poradników, bo przeczytałem juz pare na ten temat. (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Dzięki

[skowron-line]

po 1 nie używaj MD5 ponieważ jest kiepska jednokierunkowa funkcja skrótu została złamana i jest podatna na kolizję.
http://pl.php.net/manual/pl/function.hash.php tu masz coś czym możesz to zastąpić
np.

[PHP] pobierz, plaintext 
<?php
echo hash( 'md256', 'skowron-line' );
?>
[PHP] pobierz, plaintext 

if($_POST['logowanie']){
$wys_login = md5($_POST['login']);
$wys_pass = md5($_POST['haslo']);
if($wys_login == $login && $wys_pass == $pass){
$_SESSION['user'] = $nick;
}
}

Tak naprawde do niewiadomo skąd się biorą te dane
$login, $nick, $pass trzymasz to w pliku (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

[pgrzelka]

bezpieczne nigdy nie będzie, możesz jedynie wydłużyć czas łamania zabezpieczenia (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

poszukaj w google o dodawaniu soli
zrób sobie sól statyczną na stałe przypisaną do serwisu, zapisaną w pliku, np. $salt = '%$%$d\\=/><afa12312';
hasło w bazie koduj w taki sposób sha1($_POST['pass'] . $salt);
dzięki takiemu rozwiązaniu jeśli ktoś wykradnie Twoje dane z bazy a nie będzie miał dostępu do ftp to nie odczyta zakodowanych haseł

po drugie, po co kodować nicki, utrudnia to ewentualne przeglądanie bazy