[php] kilka pytan Opcje

[outsider]

Witam

Mam kilka pytan. 

1. Co uzywac, ereg czy eregi i dlaczego (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

2. Czy bedzie wieksze bezpieczenstwo hasel jesli zastosuje md5 i: podziele zhaszowane haslo na pol, z dwoch polowek odejme po 3 znaki na koncu, dodam kombinacje znakow z maila (np. od 1-4 litery maila), polacze ostatecznie druga polowke + kombinacja z maila + pierwsza polowka. Ochronie dzieki temu hasla, jesli w najgorszym wypadku ktos dostanie sie do bazy ?

3. Czy zastosowac ta sama technike do przechowania hasla w cookies - czy inna ?

4. W jednym miejscu mam warunek:

Kod

if($_SESSION['zalogowano'] == "tak") {

(czyli czy uzytkownik jest zalogowany)

To czy haker moglby w jakis sposob zmienic SESSION['zalogowano'] na "tak"(gdy nie jest zalogowany) ? Czy moze tylko odczytac jaka wartosc jest w tej zmiennej ?

Za odp. z gory dziekuje (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[decha-design]

1. Co uzywac, ereg czy eregi i dlaczego (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

Ani tego ani tego ... korzystać z preg" title="Zobacz w manualu PHP" target="_manual .. http://pornel.net/ereg

2. Czy bedzie wieksze bezpieczenstwo hasel jesli zastosuje md5 i: podziele zhaszowane haslo na pol, z dwoch polowek odejme po 3 znaki na koncu, dodam kombinacje znakow z maila (np. od 1-4 litery maila), polacze ostatecznie druga polowke + kombinacja z maila + pierwsza polowka. Ochronie dzieki temu hasla, jesli w najgorszym wypadku ktos dostanie sie do bazy ?

... wystarczy samo md5() ... jak ktoś dostanie się do bazy to i tak Ci rozwali strone, a jak już bedzie mu zalezalo na hasłach (tylko) to dostanie ciąg 32 znaków z którymi nic nie zrobi - Nie da się tego odkodować. md5() to funkcja mieszająca nie kodująca ... czy jak to tam zwał

3. Czy zastosowac ta sama technike do przechowania hasla w cookies - czy inna ?

Najlepiej to nie przechowuj haseł w kukies i będzie bez problemu. W ciastkach najlepiej trzymać takie rzeczy, które nie są zbyt istotne np. $_SESSION['logged_in'] = true;

Kod

if($_SESSION['zalogowano'] == "tak") {

(czyli czy uzytkownik jest zalogowany)
To czy haker moglby w jakis sposob zmienic SESSION['zalogowano'] na "tak"(gdy nie jest zalogowany) ? Czy moze tylko odczytac jaka wartosc jest w tej zmiennej ?

Tak, może zmienić ... znaczy przechwycić sesje innego użytkownika. Dlatego w sesjach najlepiej trzymać jeszcze IP i Host z jakiego użytkownik się zalogował i sprawdzać czy jest zgodny z tym co teraz ma dany, zalogowany użytkownik na stronie ... jeżeli nie po prostu robisz die() i haker ma pustą, białą stronę...