Verifica della password; È questo modo di farlo al sicuro?

Question

Ho un sito Web di annunci, in cui tutti possono pubblicare annunci dei loro prodotti.

Per ciascun classificato, l'utente deve immettere una password (in modo che possano eliminare il classificatore ogni volta che lo desiderano).

Quindi, in pratica, quando qualcuno vuole eliminare un annuncio, fa clic sul classificatore, fa clic sul pulsante Elimina e inserisce il pass.

Io uso MySql come database.

Io uso questo codice in fondo:

if ($pass==$row['poster_password']) 

dove row [poster_password] è prelevato dalla MySql ...

Cosa ne pensi? Grazie

Answer 1

vedere questo: Secure hash and salt for PHP passwords

Hash la propria password (forse con un po 'di sale) sulla strada nel database. Memorizza la password hash nel database (NON la loro password effettiva). Quindi recuperare la loro password hash dal database e hash la loro password di input e confrontare le password con hash.

Alcuni pseudo codice zoppo:

password_hash = hash(password_cleartext) 
# store password_hash in database 

tardi:

input_password_hash = hash(input_password_cleartext) 
fetched_password_hash_from_db = fetch(db, password_hash) 
if (input_password_hash == fetched_password_hash_from_db) { 
    ... authenticated ... 
} 

Tanto per cominciare con php, provo: http://php.net/manual/en/function.sha1.php

Answer 2

È necessario eseguire l'hash della password in qualche modo e archiviare e confrontare utilizzando la versione con hash. Vedere questo link per maggiori informazioni:

http://phpsec.org/articles/2005/password-hashing.html

Answer 3

Non conservare la password effettiva nel database. Memorizza invece un checksum (MD5, SHA1, ecc.). Quando si desidera confrontare, eseguire un checksum del valore che l'utente invia e confronta i checksum.

In questo modo non si ha la password effettiva in memoria.

Answer 4

avrei crittografare la password prima di riporlo, decifrare quando recuperandolo in modo da poterlo confrontare con ciò che l'utente ha inserito in testo in chiaro (secondo il tuo codice di esempio sopra).

Inoltre, proteggersi da qualsiasi SQL injections, o qualcuno potrebbe vedere tutte le password (e altri dati) nel database.

Answer 5

Ciò implica che le password non vengano crittografate nelle password. Se questo è il caso, dovresti utilizzare una sorta di crittografia quando inserisci le password. Un modo per farlo è la funzione MD5 che blocca la password.

Quando si esegue l'inserto si farebbe

Insert into table(email, password, whatever) values('$email', md5($password), whatever) 

E quando si confrontano fareste

if (md5($pass) == $row['password']) 

Answer 6

Le migliori pratiche è quello di mantenere un salato sha1 hash nel database:

if (sha1($pass.$row['poster_salt'])==$row['poster_password']) 

(poster_salt è una stringa casuale generata e salvata quando l'utente sceglie la password.)

In questo modo, se un utente malintenzionato accede al database, non otterrà ancora le password degli utenti (che sono probabilmente utilizzate anche altrove - la maggior parte delle persone non si preoccupa di scegliere password diverse per siti diversi).

Inoltre, è necessario utilizzare la connessione protetta (HTTPS). E richiedono password sufficientemente forti.

(Almeno se si desidera una buona sicurezza, che potrebbe essere eccessivo in caso di un semplice elenco di annunci).

Answer 7

Il tuo codice sembra sicuro, ma il tuo progetto potrebbe richiedere un po 'di lavoro.

SQL Injection

La parte pericolosa del codice è in memorizzare nulla nel database, o mostrando qualsiasi cosa per gli utenti, che vengono raccolte da parte dell'utente. Quindi, la parte che devi fare attenzione si verifica prima del tuo esempio. Assicurati di convalidare, filtrare e sfuggire tutti i dati che raccogli da parte dell'utente, inclusi la password e le informazioni sull'annuncio.

crittografia

Il vantaggio di memorizzare la password nel database è che si può permettere all'utente di recuperare la password tramite e-mail o altri mezzi se perdono esso.

Tuttavia, se lo fai memorizzare le password, è necessario memorizzare le cifrati, utilizzando una chiave segreta, in modo che se qualcuno è in grado di dirigere l'accesso in lettura al database, non possono leggere tutte le password in testo normale. Tuttavia, dovrai memorizzare la chiave segreta da qualche parte, e se qualcuno ottiene la tua chiave segreta e ha accesso al tuo database, avranno accesso a tutte le password.

valori hash (consigliato)

E 'migliori pratiche e più sicuro per memorizzare solo un modo valori di hash (SHA1 o SHA256) delle password nel database invece delle password attuali. In questo modo, non è possibile recuperare la password. I valori di hash sono intenzionalmente un modo eliminando alcuni dati.

Invece di recuperare la password originale, si hash la password che l'utente inserisce e confronta il valore di hash con il valore di hash memorizzato per vedere se corrisponde. Se l'utente perde la password in questo caso, invece di inviare la password via e-mail all'utente, si invia all'utente una nuova password generata casualmente.

Memorizzare solo il valore hash protegge ulteriormente i dati, poiché anche se l'utente ha accesso in lettura al database, i valori hash non offrono alcun vantaggio e non esiste una chiave segreta che sbloccherà tutti i valori hash.

Quando si hash le password, assicurarsi di utilizzare un valore salt casuale e memorizzare il sale per proteggere il tuo elenco di hash contro gli attacchi arcobaleno.

Sommario

a volte non si arriva a scegliere la password. A volte la password proviene da un altro sistema, quindi non sempre è possibile scegliere, e talvolta i tuoi superiori (forse anche gli utenti) richiederanno di essere in grado di recuperare le password, tuttavia, quando possibile, dovresti scegliere l'opzione più sicura .

Si noti che tutta questa attività di crittografia e valore hash protegge solo parzialmente il server da persone che sono in grado di ottenere accesso in sola lettura ai dati. A volte, ottenere i tuoi dati è sufficiente per un premio, quindi se l'utente può leggere l'hash della password, può leggere i numeri della tua carta di credito?

È necessario proteggere il database. Hai una password sicura sul tuo sistema di database? Autorizzi solo l'accesso locale ai tuoi dati? Hai creato un utente del database con i privilegi minimi da utilizzare nella tua applicazione? Ti stai proteggendo adeguatamente dagli attacchi di SQL injection e scripting?

Se qualcuno ha letto e scrive l'accesso ai dati, l'intera password aziendale diventa discutibile.

Answer 8

il mio suggerimento è il seguente

tabella utenti hanno due colonne, una denominata "password" e l'altro "sale"

$password = 'youruserpassword in plain text'; 
$salt = bin2hex(openssl_random_pseudo_bytes(32)); 
$passtostore = hash_hmac('sha384', $password, $salt); 
insert into users(password, salt) values($passtostore, $salt); 

Poi, per verificare se l'utente ha inserito la password corretta. ..

retrive sia la password e il sale dal database e

if(hash_hmac('sha384',$userpass, $row['salt']) === $row['password']) { 
// is valid 
}