Re: [PROGRAMMERING] PHP: Gemme password på en forsvarlig måde.

[Lars Riisgaard Ribe <sslug@sslug>]

> > 3) Gemme brugernavn og MD5-hashed password i MySQL-tabel med et ekstra
> > felt til et mysql-password. Gemme brugernavn og mysql-password i
> > cookie (Fordele: Ingen relevant info whatsåever på brugerens maskine,
> > men det ligger desværre stadig i db på serveren. Hvad skal skal
> > hash-strengen være)?
> >    
>
> Det er nok mig der er dum, men gider du ikke lige udspecificerer hele
> din loginprocedure? Det lyder som om at du både validerer mod en
> ldap-server og får et databasekodeord af brugeren?
>
>  
Jeg har egenligt lavet systemet til både at kunne validere mod en lokal 
MySQL og mod en LDAP. Hvis der anvendes LDAP bliver brugeren valideret 
op mod LDAP'en og hvis de bliver godkendt, bliver brugernavn og lidt 
ekstra oplysninger også gemt i MySQL'en (men pt. ingen password), så jeg 
senere kan anvende samme interface uanset om jeg kører LDAP eller 
MySQL-authentificering. Derfor vil det ikke være så stort et problem 
hvis der skulle tilføjes et ekstra felt i MySQL'en.

> Til autologin ville jeg absolut gemme brugerens rigtige
> 'credentials'[0] og så lave nogle adhoc-credentials, det kunne
> foreksempel være et tidsstempel, IP-adressen samt en hash af noget
> tilfældigt data (processnummer, størelsen af en logfil, antallet af
> bytes sendt på eth0 og en byte fra /dev/random).
>
> Det kræver selvfølgelig at du gemmer brugerens rigtige credientials,
> men hvis din databaseserver bliver kompromiteret er du alligevel på
> røven.
>  
Ja, både og - for serveren er en ren web-server, så hvis den bliver 
kompromitteret, går det højst ud over en hjemmeside. LDAP serveren er 
ekstern og det er de samme credentials der også bruges til mail, så 
derfor er jeg lidt tilbageholdende med at gemme passwordene på 
webserveren også.


Mvh

Lars


--
------------------------------------------------------------------------

Lars Riisgaard Ribe

MSc, PhD-stud.

Telephone

	

+45 89 49 52 68

Fax 	+45 89 49 60 04
Email 	sslug@sslug <mailto:sslug@sslug>
Address 	MR-Center - Aarhus University Hospital
Skejby Sygehus
Brendstrupgaardsvej
Dk-8200 Aarhus N
Denmark

------------------------------------------------------------------------