Ochrana PHP skriptov a vy

neXor ma pravdu hashovat nick a mail je blbost, ako ho potom zistis, ked budes chcet zaslat nove heslo? Ako zistis nick, ked bude dakto robit blboviny? Ked uz tak, tak skuste hashovat heslo na 2 krat - najprv povedzme sha1 a potom md5

salt je už hádam lepší, nie?

Svolo, to by teda dopadlo, ale podla mna staci zaheslovat obycajne md5 aleho sha1 a aj tak je to bezpecne, ved tolko casu nato treba aby sa zistilo povodne heslo, ze sa nato mozem vykaslat

Ale keď sa ti niekto dostane do zdrojových kódov, tak je to už v podstate zbytočné...

No a to je prave to najtazsie - dostat sa do zdrojovych kodov a na server

Nie, nie je. Útočník by musel na každého jedného užívateľa počítať hashe, čo je nemožné.
myslíš?

Presne ako pise robertek. Ked uz je niekto v serverovni alebo ma pristup k databaze, nepotrebuje hadat meno/heslo.

Ak mas v databaze ine udaje (napr osobne udaje ktore zakon prikazuje chranit osobitne) potom ma vyznam nejake kryptovanie dvojicou public/private key.
Ale urcite nie hashovanie pri ktorom stracas povodnu informaciu.

No takže takto:
1. Programator musí rátať s tým, že sa nejakou náhodou útočník dostane k jeho kódom. Práve preto ich píšeme prehľadne, aby útočník vedel čo najrýchlejšie nájsť to čo potrebuje Teraz vážne: to, že útočník prečíta tvoje phpčka, ešte nič nemusí znamenať. Wikipedia je free a pritom tuším nie je v súčastnom stave zraniteľná (možno neviem všetko ). Problém by nastal ak by ti niekto prepísal tvoje súbory. Ani v tedy to však ešte nie je koniec sveta.

2. Triminka: Ak by si použil na nick md5, a na heslo sha1, veľa by si nezískal Ako ťa poznám, tak to vieš, len pripomeniem, že výsledný reťazec má odlišnú dĺžku Vytvárať vlastné hashovacie funkcie nie je práve najlepší nápad, o čom som sa dočítal v knihe Zraniteľný kód, kde sa autor odvolával na kryptológov.

3. Hashovať nick a mail, je podľa mňa hlúposť ... , pretože tým vôbec nič nezískaš

No neviem ako sa volá metóda ktorá znečitateľní kód.Ale bolo by dobré ju použiť....priznávam sa, no s tým hashovaním mailu a nicku je blbosť. Ale aspoň maily nejak zašifrovať, pomocou AES, Blowfish (Encrypt/Decrypt)

tvoja aplikácia musí byť chránena aj v prípade, že má útočník k dispozícii všetky zdrojové kódy. Je blbosť spoliehať sa na to, že keď nikto nevidí tvoj kód, tak nie si zraniteľný. To je prístup microsoftu, jeho produkty potom aj tak vyzerajú.

Tominator: som rad ze ma poznas. Preto retazce trimujem na rovnaku dlzku, ked uz pouzivam odlisne hashovacie funkcie A nepisal som nic o vytvarani novych hash funkcii.
hashovat mail neni blbost.
situacia: user zabudne heslo, ma zahashovany mail... prepanajana, co budeme robit?
spravime formular na zabudnute heslo predsa! user tam vlozi svoj mail, mail sa zahashuje, porovna sa s hashom v db a v pripade ze sedi, mail sa odosle na zodpovedajucu adresu (mail sa ziskal z postu, nie z db ) a tramtadada -> user ma heslo a my nemame jeho mail. dokonala anonymita

A keď bude nutné z aplikácie poslať e-mail na e-mailovú adresu užívateľa, ako ju zistí? Bude ho zakaždým žiadať - Prepáčte, ale potrebujeme vám zaslať newsletter alebo reklamu alebo upozornenie, zadáte svoj e-mail?

Ako vložiš mail do inputu tak ho použiješ vo dvoch funkciách nie? Napr. sendMail($_POST['mail']) a setPass($_POST['mail'], pass1,pass2);

// EDIT:
Tak potom sa nebudú odosielať SPAMy

Ja neposielam nic take ako reklamu a newslettery. Zabezpecenie je individualne a castokrat zabranuje plnej funkcnosti systemu, avsak je vyuzitelne pokial tie niektore funkcie niesu vyuzivane.

laslo: nechapem celkom tejto casti: (pass1,pass2); preco 2x heslo?
a inak v tej druhej uz md5($_POST['mail'])

to je jedno nie?...to bol len ako príklad nejakej setPass funkcie overí či sú rovnaké a tak....Inak: ešte opdorúčam používať OOP

ot: ano, aj ja odporucam pouzivat oop, ale len tam, kde to poskytuje naozajstne vyhody, co vo funkcionalnom php nieje az tak casta situacia aku sa nam snazia nahovorit ty, co oop ovladaju a nechcu aby to co sa ucili vyslo na zmar =)

Tak mňa mail danej osoby zaujíma, preto ho nebudem kódovať
Trimovať reťazec? Tým zvyšuješ pravdepodobnosť dvoch rovnakých reťazcov
md5? Niektorí ľudia veľmi verne hlásajú, že je už prekonaný?

Jasne, zahashujem meno, heslo a mail.. A co potom? Uzivatel nieco da na stranku, neviem meno, zapne si upozornenia na jeho prispevky, nemam ako poslat mail.. Vznikne tak bezpecna aplikacia, ktora nebude mat ziadnu funkciu a preto tam nikto nebude a vlastne sa to nikto nebude snazit ani naburat.. ano ano.. bude BEZPECNA

nikto nepovedal že bude stránka bezpečná. Iba že sa tak bude databáza tváriť

OOP som pouzil len na jednu vec, a aj to na registraciu a prihlasenie uzivatelov... neviem preco ale inak vzdy radcej pouzivam funkcne programovanie... a vacsinou neziadam ziadne udaje, ktore by sa mali hashovat, napr. cislo uctu a podobne veci... preto si myslim ze hash staci len na heslo( alebo velmi citlive udaje)... sha1 myslim ze nikto este neprekonal

OOP je super vec, ale s bezpečnosťou veľa nemá Je to len spôsob prístupu. sha1 je zatiaľ bezpečné

SHA1 bolo prekonane tusim v roku 2005

jj tiez som za nazor ze iba heslo a odpoved na overovaciu otazku by malo byt zahashovane

maximalne by som este uzivatelovi po lognuti do svojho rozhrania nezobrazoval uplne udaje tj. ukazal by som: nick: km.., meno:Sta... Šv..., email: kmsa@....

moj nazor: najvacsia bespecnost je ak pirat sa nedostane do suboru a nie ze ho neuvidi (pokial nejde o aplikaciu spracuvanu na strane klienta)

hej? ja som bol v tom ze sha1 este prekonane nebolo

Triminka: myslim ze ked zoberieme podmienku ze pirat ma obmedzeny cas a nema super rychle pc...tak myslim ze nebolo prekonane

aspon o takom priklade neviem

Kazda nova ochrana je vzdy zachvilku prekonana alebo je sposob ako ju prekonat. Ale väcsinou je to tak narocne, ze sa to podari len zopar ludom resp. sa do toho nikomu nechce. Samozrejme ze by sa povedzme dala urobi obrovska databaza vsetkych moznych kombinacii pre sha1 - ale na to potrebujete super-mega pocitac a kopu času a k čomu? Atď., jednoducho nič nieje 100% bezpečne, všetko sa da obist. Spravna je skôr otazka ako dlho by to trvalo a ako by to bolo naročne.

Tak asi si myslím že najjednoduchšie riešenie je rainbow tables nie?
EDIT:


No pokiaľ viem tak dnes solídna grafika veľa nestojí....A čo sa procákov týka tak Core i7 920 za smiešných 6 tisíc ti dá taký výkon, že až ...Inak nemyslím si že na to treba XY počítačov prepojených aby si pozliepal 1 GigaFlops.

nema radeon 4870x2 nejak okolo 2.4 TeraFlops? ja len ze potom by stacilo tak okolo 0.00042 pocitacov prepojenych na gigaflops =)

Roobertok tu neustále ospevuje salt