[PHP/Alg] Database wachtwoorden opslaan

[Verwijderd]

Wat is nou de perfecte/meest veilige manier om je bestandjes met database wachtwoorden op te slaan? Ikzelf sla m'n bestandjes met wachtwoorden momenteel alleen buiten de 'http_docs-map' op zodat men ze niet direct kan benaderen via een url, maar ik weet dus niet of dit nou echt afdoende is qua goede beveiliging?

[coubertin119]

Ze hashen met md5 lijkt mij .

[gorgi_19]

coubertin119 schreef op 23 mei 2004 @ 14:56:
Ze hashen met md5 lijkt mij .

Lijkt me niet echt handig met inloggen...

Encrypted opslaan in een configuratiebestand buiten de webroot lijkt me al iets om mee te beginnen, wil je een nog betere beveiliging willen
MS doet het bijvoorbeeld al niet met z'n ASP.Net; ASP.Net 2.0 ondersteunt pas standaard encrypted opslaan van een connectionstring in je web.config.

[ Voor 26% gewijzigd door gorgi_19 op 23-05-2004 15:01 ]

[Verwijderd]

coubertin119 schreef op 23 mei 2004 @ 14:56:
Ze hashen met md5 lijkt mij .

Dat heeft volgens mij niet echt veel zin, omdat je eenmaal gehashede wachtwoorden niet meer terug kan converteren naar de authentieke invoer, wat dus betekent dat de gehashede wachtwoorden direct bruikbaar moeten zijn om in te loggen op de database. Dit zou dan echter betekenen dat je gewoon direct kan inloggen met de gehashede wachtwoorden.

[ Voor 18% gewijzigd door Verwijderd op 23-05-2004 15:03 ]

[Ghost(NL)]

Verwijderd schreef op 23 mei 2004 @ 15:01:
Dat heeft volgens mij niet echt veel zin, omdat je eenmaal gehashede wachtwoorden niet meer terug kan converteren naar de authentieke invoer, wat dus betekent dat de hahashede wachtwoorden direct bruikbaar moeten zijn om in te loggen op de database. Dit zou dan echter betekenen dat je gewoon direct kan inloggen met de gehashede wachtwoorden.

Dit is niet waar, als je je password hashed en in een db zet, kun je bij het inloggen het normale password gebruiken en dan moet de gehashde invoer gelijk zijn aan dat wat in de db staat.

[Verwijderd]

Ghostrider(NL) schreef op 23 mei 2004 @ 15:03:

Dit is niet waar, als je je password hashed en in een db zet, kun je bij het inloggen het normale password gebruiken en dan moet de gehashde invoer gelijk zijn aan dat wat in de db staat.

Het gaat om het wachtwoord voor een connectie met de database zelf.

[Verwijderd]

gorgi_19 schreef op 23 mei 2004 @ 14:58:
[...]

Lijkt me niet echt handig met inloggen...

Encrypted opslaan in een configuratiebestand buiten de webroot lijkt me al iets om mee te beginnen, wil je een nog betere beveiliging willen
MS doet het bijvoorbeeld al niet met z'n ASP.Net; ASP.Net 2.0 ondersteunt pas standaard encrypted opslaan van een connectionstring in je web.config.

Betekent buiten de webroot opslaan hetzelfde als buiten de map die beschikbaar is via de browser opslaan?

[Verwijderd]

Ghostrider(NL) schreef op 23 mei 2004 @ 15:03:
[...]


Dit is niet waar, als je je password hashed en in een db zet, kun je bij het inloggen het normale password gebruiken en dan moet de gehashde invoer gelijk zijn aan dat wat in de db staat.

Ja normaal gesproken heb je wel gelijk, maar de wachtwoorden in het wachtwoordenbestand moeten direct bruikbaar zijn om in te loggen, dus of een e.v.t. hacker nu inlogt via: thomas/wachtwoord of md5(thomas)/md5(wachtwoord), dat maakt dus niks uit.

[Verwijderd]

Als je alleen de hash opslaat en aan de server-side niets met de hash doet heeft het weinig zin.

Je moet een gecombineerde hash maken;

code:

<?php

$hash = md5($_POST["password"] . "_fde$%@#s");

?>