Newsgroup: it.comp.www.php
Titolo: librerie mcrypt

ciao a tutto il newsgroup.
avevo necessità di usare le mcrypt per crittare/decrittare le password
inserite nel db mysql ma il responsabile del nostro server mi ha detto
che non le vuole installare perché a rischio sicurezza. sono restato
di stucco. è vero? lui mi sembrava non volesse approfondire più di
tanto,
dice che è la prima volta che sente una richiesta del genere, che non
è sicuro, eccetera. per me cercava addirittura di sviare.
sul server c'è redhat/apache 2.0/php 4.3.8
adesso a me tocca riscrivere lo script, ho un magone grosso così
e volevo sapere cosa ne pensate.
raenkrus


Non è necessario usare mcrypt per le password,
E' sufficiente la funzione md5 per questo.
Praticamente conservi le password criptate con md5 sul tuo db.
 >>Sarebbe meglio che tu non sapessi le password dei tuoi clienti.<<
Poi quando un cliente inserisce la sua password per acccedere, tu la 
crypti con md5 e la confronti con quela che tu hai sul db. se le due 
stringhe sono uguali, il cliente è autenticato,
Le librerie mcrypt invece sono utili per criptare i dati che poi vuoi 
decriptare, e funzionano egregiamente.
-- 
Cordialmente.
Melus.
dal mio e-mail togli i simboli di Zorro.

 Praticamente conservi le password criptate con md5 sul tuo db.
MD5 non e' un algoritmo di criptazione.
-- 
I am what I am, I do what I can
Do. Or do not. There is not try.

 
corretto.
comunque puoi usarlo cosģ
$var=  MD5("password del cliente")
Ti restituisce qualcosa del genere:
   57edf4a22be3c955ac49da2e2107b67a


 comunque puoi usarlo cosě
Questo non va su quello.


 decriptare, e funzionano egregiamente.
vedi sopra. comunque ho risolto il problema usando l'RC4.
ad ogni modo, vi prego, non andate OT, ho chiesto una cosa ben precisa,
nessuno sa rispondermi?
raenkrus

raenkrus wrote:

e' possibile sapere perche' il responsabile ritiene la libreria mcrypt un
offensiva alla sicurezza?
-- 
www.iuz-lab.info


Beh visto che sei tanto bravo allora arrangiati.
Io le sto usando e con successo per un dvd con mysql php e microweb.
ciao ciao.


 offensiva alla sicurezza?
io mi rifiuto di comunicare con una persona del genere. puoi chiederlo
a lui direttamente, se vuoi ti passo il numero di telefono.
rae

 e volevo sapere cosa ne pensate.
Non so come sia il tuo/vostro server, ma potresti provare a compilarti mcrypt 
e copiare il binario (
http://mcrypt.hellug.gr/mcrypt/index.html
).
Poi ti scrivi uno wrapper che fa le chiamate al programma. Non e' una bella 
soluzione, ma visto che il responsabile e' ostile...
JM2C 

 JM2C
sarebbe una possibile soluzione ma
<mi quoto>
ho risolto il problema usando l'RC4.
</mi quoto>
Ho usato una classe molto elegante, usa la stessa funzione per
crittare
e decrittare. non ricordo dove l'ho trovata forse su 
phpclasses.org
.
Inoltre sono venuto a sapere che il cosiddetto responsabile non č poi
cosě responsabile... Invece di dirmi "chiama il tizio x e chiedi a
lui" ha
fatto una figuraccia tirando fuori argomenti che non stanno in piedi
manco se li impali (apologies to frankie hi-nrg mc).
rae

 essere in grado di leggerla
Di solito si salva un hash della password ed in caso di recupero se ne
genera una temporanea e si invia quella.
