Newsgroup: it.comp.www.php
Titolo: consiglio su criptazione

ciao a tutti
sto scrivendo uno script per criptare numeri di carte di credito
mi chiedevo...
è sicuro criptare e decriptare con mcrypt tenendo la chiave nella stessa
pagina dello script?
come chiper utilizzo des... che mi dite? :)

 come chiper utilizzo des... che mi dite? :)
Il DES è uno dei pochi cifrari simmetrici della libreria che è stato rotto
:))
...puoi usare il TDES
Quello che ora è considerato tra i migliori è AES
bye Ilias

 Quello che ora è considerato tra i migliori è AES
ok grazie mille...

 perchè devo farlo ;)
ehm... cioè... non era per indagare...
ma a seconda di quello che devi fare puoi usare altri meccanismi che non
siano la cifratura simmetrica.
--
Reply to: brain79(at)
inwind.it
ICQ# 42797710 - FeSToso n°143
PGP Key-ID:0x6A93736E (ldap://
keyserver.pgp.com
)
https://universibo.ing.unibo.it
 , 
http://www.brainetwork.net

 siano la cifratura simmetrica.
sostanzialmente devo salvarle nel db per poi mostrarle al cliente (uno dei
tanti nel db) al quale sono state inviate...

 tanti nel db) al quale sono state inviate...
Santi numi, mi sembra una cosa di una pericolosita' allarmante. Dovrai avere
un server con sistemi antiintrusione con le strapalle e un protocollo di
trasmissione sicuro in entrambi i sensi (quindi il cliente stesso dovra'
avere un certificato SSL, direi).
E se fossi in te eviterei proprio di discutere pubblicamente il metodo di
cifratura!
S*

 ha scritto nel messaggio
news:BAA738EF.1DF72%silvi...@removeme.tin.it...

oddio è giusto farsi tutti gli scrupoli ma non credo che quando vai a fare
shopping ti faccia tutti questi problemi a fornire il tuo numero di carta di
credito...
cmq sono state prese tutte le precauzioni tranquillo :D

 credito...
Io veramente si'... Pago con carta di credito solo su internet, dei negozi
non mi fido!
Comunque: un conto e' se ti clonano la carta di credito; un conto e' se ti
entrano nel server e te ne clonano mille. Solo quelle cose che non
danneggiano solo gli utenti, o l'azienza, ma tutto il gia' barcollante
sistema economico dell'ecommerce.
S*

 > oddio è giusto farsi tutti gli scrupoli ma non credo che quando vai a

pensa che il cliente voleva mandare i numeri di cc via email... perchè dice
che attualmente le attività a cui è dedicato il sito cosi' fanno... e
purtroppo è vero!

 tanti nel db) al quale sono state inviate...
...il cliente riceve i numeri....
Chi inserisce questi numeri?
Il cliente è on-line nel momento in cui i numeri vengono inseriti nel DB?
Anche se non te lo consiglio, se vuoi continuiamo a parlarne in privato...


:


Che non mi sentirei affato sicuro :-)))
I numeri di carta di credito vanno inviati a qualche tizio X, suppongo,
no? Sempre lo stesso, cioe' il tizio che prima li riceveva via mail.
Be', tu continui a mandarglieli per email... archivi l'intera email, ma
la archivi DOPO averla criptata opportunamente con PGP. E la chiave per
la decriptazione e' la chiave privata di X, che X tiene sul suo PC, nel
plug-in per Outlook o Eudora.
Cosi', X riceve le mail come prima e le legge come prima, ed e' felice.
Tutt'al piu' dovra' pigiare il pulsante DECRYPT MESSAGE.
E i numeri di carta di credito non sono scritti da nessuna parte, e, su
Internet, viaggiano criptati. Nel database ci sono, ma l'unico che puo'
leggerli e' X, facendoseli rispedire in email.
Leonardo
-- 
Time's angles, mages tell, conceal a place
incredible, beyond the mundane mind;
night-shrouded and between the seas of space
dread creatures drift in the ageless winds.

 Il cliente è on-line nel momento in cui i numeri vengono inseriti nel DB?
in buona sostanza (citazione ;)) si tratta di un portale turistico che
permette agli utenti di prenotare online posti negli alberghi affiliati
l'utente arriva, cerca gli alberghi, sceglie e prenota... l'albergo risponde
e per confermare il tizio invia il proprio numero di carta di credito...
questo tramite ssl finisce in un db criptato insieme ad altri dati... arriva
una segnalazione all'albergo che si collega alla sua paginetta privata in
ssl dove legge i dati... dopodichè i dati vengono cancellati dal db... se
non vengono visualizzati vengono cancellati dopo una settimana...

 leggerli e' X, facendoseli rispedire in email.
sarebbe la soluzione ottimale ovviamente ma il ricevente non č unico :(

:S)
Si installano tutti il plugin di PGP, che problema c'e'? Generano una
chiave privata e ti inviano quella pubblica.
Anche perche', se no, sei tu responsabile in sede civile; se putacaso
ti puppano le carte di credito, sei tenuto a rifondere il danno :-(
Leonardo

 ha scritto nel messaggio
news:g6oe8vgknnd6jnf21...@L.Serni...

per me rimane un po' macchinoso (si tratta di centinaia di attività
coinvolte)... cmq lato server siamo coperti... lato client abbiamo impostato
una password per ogni utente che si gestiscono da soli... saranno loro a
fare attenzione a non comunicarla a nessuno...

coinvolte)... cmq lato server siamo coperti...
Se usate una cifratura simmetrica e la chiave di decriptazione e' sul
server, mi permetto di dubitare dell'efficacia della "copertura". Uno
che sfondasse il server avrebbe a disposizione tutti i numeri di CC.
Una cosa che si puo' fare e' permettere la consultazione solo via SSL
e usare la password del cliente come passphrase per la chiave privata
(che risiede comunque sul server).
Anche questa soluzione e' tutt'altro che sicura, pero' per cuccarsi i
numeri uno deve
	(a) crackare il server
	(b) trojanare lo script che estrae le chiavi private
	(c) aspettare che un utente gli invii la sua passphrase
e a quel punto si cucca solo i numeri di *quel* cliente. Piu' tutti i
numeri nuovi di tutti i clienti, ovviamente, ma li' non c'e' rimedio.


 che sfondasse il server avrebbe a disposizione tutti i numeri di CC.
la chiave č su un altro server ben protetta

la chiave è su un altro server ben protetta
E per criptare, come fate? :-)
Anzi, qual e' il percorso di questo benedetto numero di carta di credito?
Il cliente lo invia ad una pagina (che e' SSL, giusto?); poi che succede?
