Newsgroup: it.comp.www.php
Titolo: Password criptate in php+MySQL

Buongiorno a tutti,
Ho in mente un progetto in php, in cui utilizzo un database MySQL per i dati. Volendo riservare una
alcune funzionalità del sito ad utenti registrati, pensavo di salvare la password nel db non in
chiaro, ma criptata.
Secondo voi qual'è il metodo migliore per salvare queste password, quale algoritmo usare?
Farlo da php e poi salvare i dati sul db o passarli a mysql e farli elaborare a lui (password(),
encrypt(), md5() o encode() ?) ?
TIA
See Ya, EndelWar
Sometime Active SUPREME FIDDer #19
but active FIDD FAQ Maintainer :)
-- 
"Non capirò mai la capacità femminile di evitare
una risposta diretta a qualsiasi domanda" - Spock

io solitamente... ritengo + affidabile... la funzione Encrypt di php... ma
una volta che ha crittato una stringa... non puoi + ritornare alla stringa
inziale..a differenza della md5() ... che ha sua volta è meno "SICURA" ...ma
+ easy da gestire..
Gusher
"EndelWar" <NO.en...@libero.it.SPAM.grazie> wrote in message
news:bij9otctllt9qrldr...@4ax.com...


inziale..
Lo scopo è quello: nel confronte delle password, prendo quella in chiaro inserita dall'utente , la
cripto e la confronto con quella nel db.
Ritengo che solo l'utente debba conoscere la sua password, anche se nel caso la dimenticasse, non si
potrebbe recuperare...


Ti posso suggerire, invece di affidati ad un db, di affidarti ad apahce!
Basta che editi un file .htaccess nella directory da pèroteggere, ed un file
.htpasswd che contiene l'elenco delle persone registrate.
Con lo script php editi in automatico il file delle password, ed il gioo è
fatto.
Il risultato finale, a mio avviso è molto più sicuro della soluzione db!
Raffaele
"EndelWar" <NO.en...@libero.it.SPAM.grazie> ha scritto nel messaggio
news:u4n9otsgoohls9m7g...@4ax.com...


.htpasswd che contiene l'elenco delle persone registrate.
ma le password in questi due file sono in chiaro o criptate? se sono in chiaro sono al punto di
partenza: non voglio conoscere la password degli utenti. e poi , personalmente, odio quel pop up che
chiede username e password :)
La mia idea era di preparare stili del sito diversi (con uno o due link in più rispetto ai normali
utenti) a seconda dell'utente che fa il login, ma questo è un passo successivo.


Le password nel file sono scriptate.
Il file è composto da più righe ogni riga contiene login e password
dell'utente separate da ":" (due punti).
Quando tenti di accedere ad una directory ti compare la masherina di IE o
Netscape che ti chiedono login e password.
Se proprio non ti và a genio la mascherina tieni presente che è possibile
loggarsi con la sintassi:
http://login:pass...@miosito.com/mydirectory
Potresti ad esempio scrivere un javascript (io dovrei averlo da qualche
parte) che prende i valori delle due textbox, e compone l'indirizzo compreso
di login e password al quale accedere.
Visto che parli di password criptate, penso che il tuo problema dia la
sicurezza. A mio avviso questa è sicuramente una tecnica più sicura rispetto
ad una autenticazione tramite db.
Se pensi che non sia stato chiaro fammi sapere (anche tramite e-mail)!
Saluti Raffaele
"EndelWar" <NO.en...@libero.it.SPAM.grazie> ha scritto nel messaggio
news:09cfot4pkgicgb0ot...@4ax.com...


 + easy da gestire..
O l'hai scritta male o mi auguro di averla letta male io.
md5 genera un digest che non puň mai ricondurre alla stringa originale ed č
considerato uno dei piů potenti algoritmi di hashing.
Buon lavoro.
L^Angelo