Zaheslování hesel :-)

1. Návštěvník 908CB65E 21. 2. 2005 12:34

   Mám následující problém: Chtěl bych nechat uživatele se registrovat (to není problém) a přihlašovat se (to taky není problém). Ten problém tkví v něčem jiném - rád bych nějak zabezpečil ta uživatelská hesla. Četl jsem o SaltedHashi (Interval.cz), ale nevím, jak to provést na WZ, pokud to samozřejmě jde. Takže když to shrnu, jsou tu dvě otázky: 1) Jak zabezpečit ta hesla? 2) A jde to vůbec na WZ? Předem díky, Shippy

2. Návštěvník 2D4810F1 21. 2. 2005 13:39

   tak ty hesla ukládej zašifrovaný funkcí crypt() a máš to..

3. Návštěvník 27854355 21. 2. 2005 14:06

   md5 je také velice používaná asymetrická (dokonce jednostranná) metoda šifrování... v praxi celkem používaná, od 7 heslovaných znaků prakticky velice zdlouhavě prolomitelná.

4. Návštěvník 68EF7512 21. 2. 2005 14:41

   Shippy: crypt() je prave ten salted hash, a je tudiz lepsi. Ad bod 2: Ano

5. Návštěvník 68EF7512 21. 2. 2005 14:41

   Shippy: crypt() vyrabi prave ten salted hash, a je tudiz lepsi. Ad bod 2: Ano

6. Návštěvník 6413C339 21. 2. 2005 14:56

   1. crypt() 2. jo

7. Návštěvník 908CB65E 24. 2. 2005 11:26

   Takže ve chvíli, kdy se u mě někdo pokusí zaregistrovat - před odesláním do databáze použiju něco jako $heslo=crypt(heslo); ? A když se někdo pokusí přihlásit, tak udělám s tím heslem, které se ověřuje ($q="SELECT * FROM users WHERE login='$login' AND heslo='$heslo'";), to samé? Tj. že ještě před zavoláním mysql_query() zakryptuju funkcí crypt() to heslo? Omlouvám se, mám malou představivost a žádnou zkušenost. Díky vám ty vaše zkušenosti :-)

8. Návštěvník E90EFE6F 24. 2. 2005 11:38

   shippy: presne tak

9. Návštěvník 8FC8F047 24. 2. 2005 13:13

   Počkat musíš ošetřit aby před přihlášením se heslo zacryptovalo

10. Návštěvník 644B1B24 24. 2. 2005 13:17

    Použít se dá i funkce SQL password, takže pak kontroluješ jestli uživatele přihlásíš např. takhle: SELECT * FROM uzivatele WHERE (jmeno='$jmeno' AND heslo=password('$heslo'))

11. Návštěvník 16323E79 25. 2. 2005 10:04

    ALe crypt hází pokaždé jinou hodnotu stejného řetězce ne ?

12. Návštěvník 0A5C1A7D 25. 2. 2005 11:13

    Samozrejme ze ne. crypt() i md5() musi na ten samy vstupni retezec vzdycky vratit ten samy vystupni retezec. Jinak by to nebyly funkce na kryptovani retzece, ale spis na jeho znehodnoceni.

13. Návštěvník 16323E79 25. 2. 2005 11:15

    Mno já co si pamatuju tak mi to přesně tohle dělalo, crypt .. pokaždý jiný .. mno to je fuk asi bug

14. Návštěvník 68EF7512 25. 2. 2005 16:26

    Mike: to je zcela korektni. Pokud nespecifikujes salt, php ho nadone vygeneruje. Algoritmus hashe je saltem ovlivnen. Pouzijes-li vystup cryptu() jako salt pro crypt() puvodniho retezce, dostanes ten samy vystup, jako salt. Je to trochu zmateny na prvni pohled, ale na ten druhej je to o dost propracovanejsi hashovani.

15. Návštěvník 4768E230 25. 2. 2005 17:44

    iirc, crypt() pouziva jeho systemovou implementaci, tudiz muze na ruznych platformach generovat ruzne vysledky. byt tebou bych pouzil neco prenositelnejsiho - sha1(), md5(), ...

16. Návštěvník 4768E230 25. 2. 2005 17:44

    pripadne crypt() a specifikovat mu metodu, co ma puzit, samozrejme :-)

17. Návštěvník 908CB65E 26. 2. 2005 16:25

    A můžu se zeptat, jak se specifikuje ta metoda? V oboru zabezpečování jsem naprosto mimo.

18. Návštěvník 68EF7512 26. 2. 2005 20:36

    On systems where the crypt() function supports multiple encryption types, the following constants are set to 0 or 1 depending on whether the given type is available: * CRYPT_STD_DES - Standard DES-based encryption with a two character salt * CRYPT_EXT_DES - Extended DES-based encryption with a nine character salt * CRYPT_MD5 - MD5 encryption with a twelve character salt starting with $1$ * CRYPT_BLOWFISH - Blowfish encryption with a sixteen character salt starting with $2$ or $2a$

← Zpět na všechna témata