[MySQL][PHP]Sposób na zakodowanie haseł w bazie Opcje

[@rtur]

Łącze się ze stroną wymagającą autoryzacji, login;hasło za pomocą curla, wszystkie dane o stronie trzymam w bazie. Macie jakieś pomysły żeby zabezpieczyć hasła przed ich odszyfrowaniem przez osoby niepowołane które w jakiś sposób dostaną się do bazy?

Wiadomo, że przy systemie logowania stosuje się jakieś sha sole i inne zabezpieczenia haseł których odszyfrować do postaci jawnej się nie da. Tutaj sha md5 czy czegoś podobnego nie zastosuje bo muszę mieć możliwość odszyfrowania hasła żeby go w formie jawnej użyć w skrypcie, więc jak go zabezpieczyć?

[kapslokk]

Jedyne co mi przychodzi do głowy to base64 i rot13, jak kilka razy pomieszasz, to teoretycznie będzie ciężej rozszyfrować, ale nadal będzie się dało rozszyfrować. Możesz dodać jakiegoś salta i będzie jeszcze trudniej (IMG:style_emoticons/default/wink.gif)

Ten post edytował kapslokk 5.07.2015, 09:22:52

[Pyton_000]

Jedne z sensowniejszych to:
http://www.php.net/manual/en/book.openssl.php

[ohm]

AES - ale zawsze będziesz miał ryzyko że ktoś wykradnie klucz.
Ewentualnie możesz zrobić zapisywanie w jednej kolumnie hashowanie jednostronne do autentykacji i druga kolumna z zakodowanym hasłem przez AES i pobranym jednorazowym kluczem z zewnętrznego serwera. Klucz może być wygenerowany pobrany przez "kanał" szyfrowany (VPN?) tylko raz (przy tworzeniu hasla) lub kilkukrotnie przy edycji. Dla większego bezpieczeństwa możesz także zrobić uwierzytelnianie jakimiś tokenami między serwerami.
Wynik tego jest taki, że na serwerze produkcyjnym masz tylko zakodowane hasła, a na serwerze niedostępnym publicznie posiadasz tylko jakiś identyfikator konta i jego klucz do odszyfrowania. Kwestia czy będziesz wysyłał hasło na serwer ukryty, czy tylko pobierał do niego klucz i szyfrował lokalnie też jest do rozważenia (IMG:style_emoticons/default/smile.gif)
Jest to tylko koncept, więc pewnie dałoby się to zrobić bezpieczniej (IMG:style_emoticons/default/smile.gif)