[an error occurred while processing this directive] [an error occurred while processing this directive][an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] (none) [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive][an error occurred while processing this directive] [an error occurred while processing this directive][an error occurred while processing this directive] [an error occurred while processing this directive][an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive] (none) [an error occurred while processing this directive] [an error occurred while processing this directive] [an error occurred while processing this directive][an error occurred while processing this directive]
 
[an error occurred while processing this directive] [an error occurred while processing this directive]
Skåne Sjælland Linux User Group - http://www.sslug.dk Home   Subscribe   Mail Archive   Forum   Calendar   Search
MhonArc Date: [Date Prev] [Date Index] [Date Next]   Thread: [Date Prev] [Thread Index] [Date Next]   MhonArc
 

PHP: Gemme password på en forsvarlig måde.



Hej sslug'ere
Jeg arbejder på et CMS-projekt hvor brugerne, når de logger ind, valideres mod en LDAP server. For at lette brugernes dagligdag, vil jeg gerne give dem muligheden for at gemme deres brugernavn og password, så de automatisk bliver logget ind, men det skal jo ske på en rimelig forsvarlig måde.
Systemet er lavet i PHP og kører på både Linux og Windows, så ingen eksterne programmer!
Jeg har overvejet følgende scenarier ( med fordele + ulemper):
1) Gemme brugernavn og password som klartekst i cookie (den behøves jeg vidst ikke at forklare problemet i)
2) Gemme brugernavn som klartekst og MD5-hashed password i cookie (fordel: password ikke umiddelbart tilgængeligt. Ulempe: Hvis man kender strengen man hasher med, er man jo lige vidt, så strengen skal vælges på en optimal måde? Evt. noget med at bruge brugerens ip-nummer og noget info fra ldap-serveren, så informationen både stammer fra klient og LDAP-server?)
3) Gemme brugernavn og MD5-hashed password i MySQL-tabel med et ekstra felt til et mysql-password. Gemme brugernavn og mysql-password i cookie (Fordele: Ingen relevant info whatsåever på brugerens maskine, men det ligger desværre stadig i db på serveren. Hvad skal skal hash-strengen være)?
4) Andet? Kan en MS Exchange LDAP finde ud af at modtage passwords krypterede på en eller anden måde?


Håber på at høre fra jer.

Mange hilsner


Lars


--
------------------------------------------------------------------------

Lars Riisgaard Ribe

MSc, PhD-stud.

Telephone



+45 89 49 52 68

Fax 	+45 89 49 60 04
Email 	sslug@sslug <mailto:sslug@sslug>
Address 	MR-Center - Aarhus University Hospital
Skejby Sygehus
Brendstrupgaardsvej
Dk-8200 Aarhus N
Denmark

------------------------------------------------------------------------

 
Home   Subscribe   Mail Archive   Index   Calendar   Search

 
 
Questions about the web-pages to <www_admin>. Last modified 2005-08-10, 22:44 CEST [an error occurred while processing this directive]
This page is maintained by [an error occurred while processing this directive]MHonArc [an error occurred while processing this directive] # [an error occurred while processing this directive] *