Newsgroup: it.comp.www.php
Titolo: Le pass criptate?

Scusate devo realizzare una specie di mailing-list per un locali molto in
della mia città..
Come faccio a rendere sicuro il mio db e le info all'interno?
Voi le pass le criptate sempre?
--
Cristian aKa Cc
--

 Voi le pass le criptate sempre?
Sicuro da che punto di vista?
Certo, se devi gestire i login, criptare le password č gią una buona idea.
Ciao
Marco

Voi le pass le criptate sempre?
No.
Saluti
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC č possibile!
Software libero, PHP, MySQL, Webdesign, Sicurezza, CMS, Tutorials
Per rispondere in e-mail togli NOSPAM 

 Voi le pass le criptate sempre?
Quasi mai nel DB, se sono sicuro che non sia accessibile da fuori del
server, ma non le uso mai non criptate nel codice, in pratica le cripto
appena le tiro fuori e poi uso il valore criptato, ma non le facccio mai
comparire da nessuna parte del codice ne in file che è possibile leggere da
fuori dal server.
Buona regola è però criptarle sempre, e quando fai il login usareuna
connessione sicura


 ha scritto nel messaggio
news:3duRb.152236$VW.61...@news3.tin.it...


 ha scritto nel messaggio
news:23vRb.290122$e6.11...@twister2.libero.it...


 ha scritto nel messaggio
news:YmjRb.280934$vO5.11...@twister1.libero.it...


Fino a che non arriva il solit utente che .... ho dimenticato la password,
me la puoi ridare per favore? ed allora devi partire con una ricerca a
tentativi per trovare la dannata password originale.
Diverso è il discorso per applicazioni non ..... destinate a LAN private, li
concordo che è meglio criptale, specie se la LAN è collegata ad internet.
(BTW esistono molte LAN non collegate ad Internet per motivi di sicurezza).
"Carratta Andrea" <NOR...@NOREPLYinnoland.it> ha scritto nel messaggio
news:JDARb.208498$_P.71...@news4.tin.it...


 credo in ssl (https://)
Esatto, ssl,

tentativi per trovare la dannata password originale.
La mia soluzione è stata di tenere la psw criptata one-way nel db e se uno l'ha dimenticata ho
previsto una procedura che resetta la password esistente sostituendola con una random che viene
comunicata all'indirizzo e-mail di registrazione (che era già stato verificato in sede di prima
registrazione attraverso una richiesta di conferma), poi lui se vuole se la cambia di nuovo dopo
aver fatto il login con la nuova psw.
Mi è sembrata una buona soluzione.
Ciao.
Massimo

> Mi č sembrata una buona soluzione.
a me, da niubbo, pare il top! ;-)
Grazie a tutti, sempre molto disponibili!



l'idea è sicuramente buona, ma questo "resetta password" mi incute un pò 
di timore
e su che basi resetti la password?
cioè tu chiedi l'indirizzo email?
e su quello basi il reset della password?
fatta così è un vero e proprio suicidio
Andrea


Il reset della psw passa attraverso un form sul sito in cui viene richiesto lo username e la mail.
Il sistema attraverso i due dati (che ovviamente sono univoci in quanto il sistema non permette
doppioni in fase di registrazione) risale all'utente, resetta la psw e la invia in chiaro alla
e-mail registrata e la registra nel db crittata.
Ritengo abbastanza improbabile che qualcuno possa riuscire ad inserire casualmente sia username che
mail ed in ogni caso anche se ci riuscisse la mail con la nuova psw random arriverebbe all'indirizzo
buono e non a lui. Questa procedura può avere un punto debole se è permesso il cambio mail senza
buone precauzioni, cioè se uno riesce a sostituire la mail dell'utente con la sua e poi richiedere
il reset della psw che in questo caso arriva a lui. Nel caso specifico la possibilità di cambiare la
mail l'ho inserita solo in fase successiva al login e comunque richiedendo sia la vecchia mail sia
la psw.
Così mi sembra abbastanza garantito, ma accetto volentieri commenti.
Per chi ne ha voglia questo è un documento interessante:
http://naufraghi.free.fr/php/top10security.php
Ciao.
Massimo

 ha scritto nel messaggio
news:2tmf1050ak4ghfbic...@4ax.com...


 Voi le pass le criptate sempre?
Scusate ma secondo me non ha senso crittare le password di un database:
- a meno che non si usi ssl vengono comunque mandate in chiaro, quindi un
ipotetico sniffer tra noi le intercetta, e anche usando ssl non avrebbe
senso ugualmente
- se qualcuno è in grado di leggere la tabella delle pass sul database è in
grado di leggere anche gli altri campi che dovrebbero essere protetti
proprio dalla password, nonchè presumibilmente di resettarla a proprio
piacimento
L'unico caso in cui mi viene in mente possa avere un senso è se la password
protegge dati che si trovano su un altro server, per cui un eventuale
amministratore del server SQL avendo solo la password crittata non può
accedere ai dati sensibili, ma non mi pare questo il caso
Saluti
Paolo Dell'Unto
icq #770759


kk pensavo chiedessi solo l'indirizzo email
anche se c'è da dire che in molti casi l'utente non ricorda pure 
l'username, per cui mi sembra un pò limitato in funzionalità come 
sistema, anche se a tutto vantaggio della sicurezza(dato da non 
sottovalutare)
in quasi tutti i casi è impossibile conciliare funzionalità con 
sicurezza .... che palle viviamo sempre di compromessi ^_^


Completamente d'accordo con te.
Ciao
Francesco
_____________________________________
http://www.altropc.it
 - Un altro PC è possibile!



Il tuo ragionamento è valido per quanto riguarda i dati che sono registrati nel db. E' ovvio che se
uno ha la possibilità di leggere il database quei dati non sono protetti dalla psw crittata. Credo
però che se la psw dà accesso a servizi, anche solo l'ìnserimento di ordini d'acquisto, che sia
crittata non faccia male. Credo anche che per chi gestisce il sito il fatto che la psw sia crittata
e quindi non riconoscibile neanche per lui, possa risultare un elemento a favore in caso di utilizzo
fraudolento da parte di terzi
Ciao
Massimo

 fraudolento da parte di terzi
Si, in effetti questa potrebbe essere una valida ragione, non ci avevo
pensato.
Ciao
Paolo

 tentativi per trovare la dannata password originale.
Non fai prima ad impostarne una nuova ?
-- 
Ciao,
        Fabrizio
<=- 
http://www.negusweb.it
 -=>