Bezpečné uložení hesel do DB – PHP – Fórum – Programujte.com

TIP: Přetáhni ikonu na hlavní panel pro připnutí webu

Trvalé přihlášení

Zapomněl jsi heslo?

Bezpečné uložení hesel do DB – PHP – Fórum – Programujte.com

Rozšířené hledání ›

Nejnovější témata ve fóru

16:45, HTML / XHTML Anti-kukíkový zákon

16:26, Assembler šachový program

22:06, Startupy Megastroj.cz – Vše na jednom místě: půjčovna, bazar a inze…

21:17, Inzerce FPGA vývojová deska XILINX VIRTEX 5 ML507

20:59, OS - GNU / Linux Ubuntu a OpenSuse

21:47, Offtopic Digitalizace v Česku

Stavba Laser Arény
Laser Game Brno

Bezpečné uložení hesel do DB

Twinn

~ Anonymní uživatel
~ 1 příspěvek

21. 1. 2010 #1

Dobrý den, mám hesla v databázu uložena jako sha1(heslo) a podle tohoto článku http://miho.blog.zive.cz/2010/01/jak-ukladat-hesla-do-databaze/ to není bezpečné. Nechci po uživatelích chtít, aby si měnili heslo. Použití vícenásobného hashování (sha1(sha1(heslo)) prý je k ničemu.

Co ale kdybych k aktuálnímu sha1otisku přisal sůl a pak bych použil znovu sha1? Tzn:

sha1(sha1(heslo)+salt)

Je to bezpečné?

Nahlásit jako SPAM

IP: 77.93.216.–

marioff0

Expert

21. 1. 2010 #2

To Twinn : ano malo by to byt dostatocne, ide hlavne o to aby si sa nedala pouzit rainbow tabulka.... ktora zabezpecuje najjednoduchsie "zlomenie" hesiel, nakolko vacsina uzivatelov ma slovnikove hesla

inak salt moze byt aj napr uzivatelovo meno, cize sa bude vzdy menit aj salt ;)

Nahlásit jako SPAM

IP: 195.78.44.–

Škoda, že život sa nedá "sejvovať", tak že by som po zlom životnom rozhodnutí mohol začať odznova :([br] Lenivosť je matka pokroku.[br][br] http://cut.sk/ - odstrihni si dlhý link

Yety0

Stálý člen

23. 1. 2010 #3

A co vymyslet nějaký jednoduchý šifrovací algoritmus (v PHP) a ukládat hesla šifrovaně?

Nahlásit jako SPAM

IP: 62.245.72.–

Kapitán A. J. Rimmer vesmírný dobrodruh

w3m0

Grafoman

Kultivátor příspěvků ve starém fóru – 1.87 % z celku

23. 1. 2010 #4

Yety: Šifrovací algoritmy se dají rozšifrovat, a tedy to není vhodný způsob ukládání hesel do DB. A hashovací algoritmus nikdo ze dne na den nevymyslí.

Správný postup je sha1($username.$heslo). Takto se stává z username dynamická sůl a díky tomu dvě stejné hesla mají odlišný hash.

Nahlásit jako SPAM

IP: 84.42.151.–

Sa Nata A Na. Howgh

polonium0

Návštěvník

23. 1. 2010 #5

Je nejaky specialni duvod proc nepouzivate md5??

Nahlásit jako SPAM

IP: 88.146.176.–

Curo

~ Šéfredaktor

Hero

Kultivátor příspěvků ve starém fóru – 5.22 % z celku

23. 1. 2010 #6

To polonium : Je to jedno, jestli MD5 nebo SHA1.

Každopádně jako sůl bych doporučoval používat něco neveřejného (přezdívka je veřejná) a lze si tedy sestavit ke konkrétnímu uživateli opět hashe slovníkových hesel.

Nahlásit jako SPAM

IP: 88.102.243.–

Guitar Hero Master, Project führer & zdejší čaroděj.
Sleduj mě na twitteru – @lukaschury.

marioff0

Expert

23. 1. 2010 #7

To Curo : ano, najlepsie asi nieco taketo:

sha1($login."^^^jdjžťHUIHZU*+djf## NEJAKY ZHLUK ZNAKOV (pismena,cisla,specialne znaky)Žu<đ5".$password);

samozrejme dany "zhluk znakov" musi byt rovnaky :smile1:

Nahlásit jako SPAM

IP: 195.78.44.–

Škoda, že život sa nedá "sejvovať", tak že by som po zlom životnom rozhodnutí mohol začať odznova :([br] Lenivosť je matka pokroku.[br][br] http://cut.sk/ - odstrihni si dlhý link

Mega.Lama0

Stálý člen

23. 1. 2010 #8

stiahneš si z netu AES šiftovací algoritmus, nastavíš dĺžku 256 bitov a pokiaľ máš zabezpečený prístup k databáze potom sa nemáš čoho báť.

Nahlásit jako SPAM

IP: 85.135.144.–

http://www.youtube.com/watch?v=j_tWGyCK6Ds ...kto by veril,že je to otcov bratranec z druhého kolena?...

Mega.Lama0

Stálý člen

23. 1. 2010 #9

stiahneš si z netu AES šiftovací algoritmus, nastavíš dĺžku 256 bitov a pokiaľ máš zabezpečený prístup k databáze potom sa nemáš čoho báť.

Nahlásit jako SPAM

IP: 85.135.144.–

http://www.youtube.com/watch?v=j_tWGyCK6Ds ...kto by veril,že je to otcov bratranec z druhého kolena?...

Mega.Lama0

Stálý člen

23. 1. 2010 #10

stiahneš si z netu AES šiftovací algoritmus, nastavíš dĺžku 256 bitov a pokiaľ máš zabezpečený prístup k databáze potom sa nemáš čoho báť.

Nahlásit jako SPAM

IP: 85.135.144.–

http://www.youtube.com/watch?v=j_tWGyCK6Ds ...kto by veril,že je to otcov bratranec z druhého kolena?...

Mega.Lama0

Stálý člen

23. 1. 2010 #11

Sorry za triple post ale tak sekol mi odosielací skript -.-

Nahlásit jako SPAM

IP: 85.135.144.–

http://www.youtube.com/watch?v=j_tWGyCK6Ds ...kto by veril,že je to otcov bratranec z druhého kolena?...

w3m0

Grafoman

24. 1. 2010 #12

polonium napsal:
Je nejaky specialni duvod proc nepouzivate md5??

MD5 už dnes není příliš bezpečné.

@Curo: Dynamická sůl má hlavní účel k tomu, aby dvě stejné hesla neměly stejný hash. Kdyby to bylo bez soli, zadal bys "123456789" a automaticky by ti to vyhodilo všechny uživatele s tímto heslem, mezitímco takhle cracker musí jít uživatel po uživateli. Neveřejný dynamický hash je podle mě už mírně přehnané, to už jen zvětšuje délku hesla v případě, že by se sha1čku pokusil někdo lámat.

Nahlásit jako SPAM

IP: 84.42.151.–

Sa Nata A Na. Howgh

marioff0

Expert

24. 1. 2010 #13

w3m napsal:

Neveřejný dynamický hash je podle mě už mírně přehnané, to už jen zvětšuje délku hesla v případě, že by se sha1čku pokusil někdo lámat.

v mojom pripade je to hlavny dovod... v pripade kompromitacie mojej db cracker nevyuzije ani rainbow ani brutalforce lamanie, nakolko maju moje hesla minimalne 150-200 znakov. Paranoia v tomto pripade nikdy nie je dostatocne velka....

Mozno dalsi mensi doplnok by spocival v prehadzani poradia vysledneho hash-u, nejak takto: substr($hash,30,10).substr($hash,0,15).substr($hash,15,15), pripadne ine upravy....

To Mega.Lama : sifrovat heslo je blbost, nevidim dovod naco by to bolo dobre, zbytocne velky bezpecnostny risk... bez dovodu.. Ja pouzivam sifrovanie na osobne udaje, tel.cisla ale aj e-mail adresy, ale na heslo to je fakt blbost...

Nahlásit jako SPAM

IP: 195.78.44.–

Škoda, že život sa nedá "sejvovať", tak že by som po zlom životnom rozhodnutí mohol začať odznova :([br] Lenivosť je matka pokroku.[br][br] http://cut.sk/ - odstrihni si dlhý link

← Zpět na seznam vláken ← Zpět do Fóra