cotonti.com : Хранение паролей [добавлено в #966] https://www.cotonti.com Последние сообщения в теме Cotonti en Mon, 13 Oct 2025 10:06:33 -0000 Macik Т.к. возражений нет - повесил тикет: № 966

 

]]> пт, 15 июн 2012 13:17:53 -0000 Moool13 Особого смысла не вижу, ибо тому, кто получит доступ к БД, достаточно заменить пароль на свой (напр. 0000 - 4a7d1ed414474e4033ac29ccb8653d9b). Да и ломат юзеров не нужно, вся инфа в БД есть.

Настраивает только это

Это говорит о том, что в случае несанкционированного доступа к БД может быть получен и расшифрован пароль пользователя (а учитывая, что у многих он одинаковый для разных сайтов / сервисов - то последствия могут быть далеко идущими).

Т.ч. думаю достаточно добавить пару солей, и тогда замена не поможет. А подбор в тем более безполезен.

]]> ср, 13 июн 2012 08:11:02 -0000 Wadik Думаю esclkm прав. Нужно в конфигурации это предусмотреть. 

]]> вт, 12 июн 2012 09:55:00 -0000 esclkm Паш наверное все)

]]> вт, 12 июн 2012 07:13:18 -0000 Dayver Сразу видно кто хабр читает)))

]]> вт, 12 июн 2012 06:24:43 -0000 esclkm скорее надо реализовать кастом шифрование. В конфиг файле задаваемое...

]]> вт, 12 июн 2012 05:42:26 -0000 Macik Обратил внимание, как пароли пользователей храняться в БД и задумался... 

Это видимо еще с Seditio тянется.

Суть в том, что сейчас пароли пользователей хешируются напрямую (в неизменном виде) алгоритмом md5, который давно морально устарел и более того, считается уязвимым.

В качестве примера взял базу паролей одного из своих сайтов - 3900 пользователей в базе. За сутки удалось расшифровать 2600 паролей (буквы/цифры длиной до 8 знаков).

Это говорит о том, что в случае несанкционированного доступа к БД может быть получен и расшифрован пароль пользователя (а учитывая, что у многих он одинаковый для разных сайтов / сервисов - то последствия могут быть далеко идущими). И даже если исключить стороннее проникновение в БД, то остается шанс «утечки» паролей, например если админ сайта не чист на руку.

Предложение заменить MD5 на SHA1 и обязательно добавить «соли».
типа  $passw_hash = sha1($user_id . sha1($user_password));

Как реализовать прозрачный апгрейд текущих систем пока идей нет. Надо помозговать.

]]> вт, 12 июн 2012 03:43:40 -0000