[php] zabezpieczenie strony Opcje

[marcinek37]

witam,

1. zabezpieczyłem system wg wskazówek zawartych na stronach:
- http://php.pl/Wortal/Artykuly/Bezpieczenst...wa-skryptow-PHP
- http://webmade.org/porady/bezpieczenstwo-p...on-xss-csrf.php
oczywiście w internecie są setki podobnych artykułów, jednak nie wnoszą niczego nowego do dyskusji o bezpieczeństwie
czy informacje zawarte w nich są wystarczające? czy mam na coś innego zwrócić uwagę?

2. moje logowanie wygląda tak, że podaję login i hasło, system sprawdza, czy owy login jest w bazie, jeśli jest, to sprawdza, czy podane hasło po przejściu przez md5 jest zgodne z tym z bazy danych
jeśli jest powstają dwie sesje, w jednej podany jest numer ID użytkownika, a w drugiej znajduje się hasło po przejściu po funkcji md5

następnie po każdym odświeżeniu strony, system wie, że mam te dwie sesje, ale i tak je sprawdza, czy użytkownik o ID z sesji ma w bazie takie samo hasło jak te z sesji

czy to bezpieczne? czy może warto coś z tym zrobić?

[marcinek37]

1. pobrałem sobie to: http://www.openwall.com/phpass/phpass-article-3.tar.gz
i skupiłem się na katalogu demo4, który najbardziej mi odpowiadał

przykładowy kod był spory, a jego konstrukcja mi nie odpowiadała, więc skróciłem go tak:

[PHP] pobierz, plaintext 
<?
<?php
require '../PasswordHash.php';
$hasher = new PasswordHash($hash_cost_log2, $hash_portable);
 
// oryginalne hasło
$org_pass = 'XYZ';
 
// funkcja, która tworzy hash dla hasła
$pass = $hasher->HashPassword($org_pass);
 
// hash, który się utworzył
$org_hash = '$P$BxAextjApHS/s1Hj01Eydd9Jfv2PSb.';
 
// jeśli pokaże 1, to działa dobrze
$ok = $hasher->CheckPassword($org_pass, $org_hash);
 
// wynik
echo $ok;
?>
[PHP] pobierz, plaintext 

czy dobrze zrozumiałem jego działanie?

2. żeby kod nieco skrócić, zmieniłem nieco klasę:

[PHP] pobierz, plaintext 
<?
class PasswordHash {
	var $itoa64;
	var $iteration_count_log2 = 8;
	var $portable_hashes = FALSE;
	var $random_state;
...
?>
[PHP] pobierz, plaintext 

bo i tak nie wiem, do czego służą te parametry, więc wpisałem je na stałe

3. jak rozumiem, każda fraza może mieć kilka/kilkanaście swoich wersji, bo gdy odświeżałem stronę dla danej zmiennej, skrypt tworzył zupełnie inny hash

4. czy coś jeszcze powinienem wiedzieć o tym skrypcie?

Ten post edytował marcinek37 22.10.2012, 17:29:50