Newsgroup: it.comp.www.php
Titolo: mysql_connect sicuro?

Mi chiedevo se il fatto di mettere l'username e password in chiaro 
all'interno di una pagina
non sia poco sicuro... anche se il file config di apache sia configurato 
in modo ottimale e
gli accessi al server siano strettamente controllati....
Ma non esiste un modo di connessione al DB criptato, senza dover mettere 
le pass in chiaro?
Ciao e grazie
ss
----------------------------------

 mettere le pass in chiaro?
Che io sappia no.
-- 
I am what I am, I do what I can
Sei un newbie? Leggi questo 
http://url.repository.biz/go/3C
L'uomo, conscio di sbagliare, persevera.




Ho indagato un po .....una cosa che si puo fare è di separare queste info,

ossia assegnare l'user e la pass in variabili, e creare un file separato,

includendolo in tutte le pagine che necessitano una connessione al db.

Mi rendo conto che non aumento di molto la sicurezza, ma almeno non ci sono
queste info su tutte le pag.







Setec Astronomy wrote:




Stefano Serta wrote:

  




Ma non esiste un modo di connessione al DB criptato, senza dover 
mettere le pass in chiaro?
    





Che io sappia no.

  






-- 
 ,_,
(O,O)
(   )
-"-"--------------------------------------------------------------------
Stefano Serta                                 Tel:      
+41(91) 610 8229

Swiss National Supercomputing Centre          Fax:      
+41(91) 610 8282

Via Cantonale - Galleria 2                    E-mail:     
sse...@cscs.ch

6928 Manno, Switzerland                               
http://www.cscs.ch

------------------------------------------------------------------------
            Imparare significa riscoprire ció che gia sai.
                Agire vuol dire mostrare che lo sai.
Insegnare é far sapere agli altri che essi lo sanno esattamente come te.







 sono queste info su tutte le pag.
che e' la stessa identica cosa che scrivere direttamente nella pagina.
sp-

 le pass in chiaro?
   Ovviamente, no. Si dà per scontato che l'accesso in lettura alle 
pagine PHP sia consentito solo all'amministratore del sistema ed al 
programmatore, essendo concessa all'utente generico la sola esecuzione 
(il che assicura che non abbia la possibilità di vedere il codice, e 
quindi le credenziali di accesso).
   In effetti, direi che questo è il punto di forza delle applicazioni 
three-tier: il "tier" della business logic è protetto in qualche modo e 
può, quindi, gestire la sicurezza dell'accesso al "tier" del data 
management senza troppe preoccupazioni. Nota che ciò accade anche in 
ambienti diversi dal web: le password sono sempre da qualche parte, 
l'importante è renderle leggibili solo a chi di dovere.
   D'altra parte, i DBMS oggi implementano quasi tutti politiche di 
accesso proprietarie: invece di usare un utente applicativo per tutti 
puoi costringere ogni utente ad usare le proprie credenziali, che sono 
quelle definite nel DBMS. In questo modo, non avrai nulla di "scritto" 
ma il problema ti si riproporrà nei termini della trasmissione via web 
delle informazioni (HTTPS e simili).
   Anche crittografare da qualche parte le credenziali è inutile, in 
quanto, se si riesce a metter le mani sugli script, si risale facilmente 
al metodo di cifratura e, conseguentemente, la sicurezza è rotta. Temo 
che l'unica soluzione sia quella di organizzare al meglio gli strumenti 
che hai a disposizione: Apache è solido da questo punto di vista e se 
non ti fidi di un eventuale hosting, puoi sempre creati un sito localmente.
-- 
Alla prossima,
Marco

 al metodo di cifratura e, conseguentemente, la sicurezza č rotta.
a proposito..
l'MD5 puo' essere decrittato in plain-text ?
sp-

 l'MD5 puo' essere decrittato in plain-text ?
L'MD5	e' una lagoritmo di hashing, non di criptazione, la risposta e'
no.
-- 
I am what I am, I do what I can
Vuoi supportarmi? 
http://url.repository.biz/go/3E
Votami! 
http://www.phpclasses.org/vote.html


 
MD5 non cripta, fà un hash che è sostanzialmente un "riassunto" dei dati 
da criptare.
Siccome la cardinalità (diciamo numero di bytes) dei dati criptata in 
MD5 è generalmente inferiore a quella del messaggio in chiaro, risulta 
impossibile "invertire" la funzione e riottenere il msg originale.
Che io sappia l'unico metodo di riottenere il messaggio in chiaro a 
partire dal quello criptato è il brute-force
ciao
Alesi_27