Logowanie a integracja z passwd - bezpieczeństwo, Da się zrobić, to wiem, ale ... Opcje

[shima]

Czy takie rozwiązanie jest bezpieczne? A jeżeli nie, to czemu, jak zwiększyć bezpieczeństwo?
Co sądzicie o opcji updatowania haseł(zahaszowanych) w bazie ew. zewnątrznym pliku przy użyciu crona?
A może jakieś znacznie lepsze pomysły?

[shima]

Czy takie rozwiązanie jest bezpieczene? Tak, danie wszystkim skryptom php na całym serwerze prawa odczytu pliku /etc/shadow jest bardzo bezpieczene (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) .

Kolejny genialny komentarz. Wskaż mi miejsce, gdzie napisałem "wszystkim". (IMG:http://forum.php.pl/style_emoticons/default/mad.gif)

@prometeus: zmiana tego hasła przez www NIE wchodzi w grę!!!

Co sądzicie o opcji updatowania haseł(zahaszowanych) w bazie ew. zewnątrznym pliku przy użyciu crona?

Jedyna możliwość jaka rozważałem (dla przypomnienia cytat powyżej) to update pliku po zmianie hasła przez usera przez SSH - tylko i wyłącznie. 10 minut to nie jest duża bezwładność, a z drugiej strony nie chciałbym komunikować użytkownikowi, że ma odczekać 10 minut, zanim sie zaloguje. Kopia mogłaby być robiona natychmiast gdyby można było zmieniać hasła z poziomu www, ale to nie wchodzi w grę, Kwestia zabezpieczeń linuxa mało ma tu do rzeczy, bo ew. skrypt miałby uprawnienia jedynie do czytania, po wywołaniu następowałoby przekierowanie itd.
Inaczej mówiąc - co może mi zrobić user bez konta na moim serwerze i mogący jedynie wywołać skrypt, który zwraca jedynie bool'a?
Jakieś sugestie hawk?

Update: Pisząc tego posta wymyśliłem jak to zrobić bez ryzyka. Dzięki za sugestię prometeus, najprostsze rozwiązania najtrudniej zauważyć. I php nie jest do tego potrzebne.

Ten post edytował shima 25.02.2005, 18:44:32