protegendo senhas

reimassupilami
(usa Slackware)

Enviado em 17/01/2006 - 11:14h

dae povo, bom dia... estou eu mais uma vez no top dos topicos, ehehhehe...

olha só, quando fazemos script de conexão a banco de dados ou ftp por padrão acabamos deixando usuario e senhas dentro do script, pra q seja feitas as conexões com as funções relativas...

isso me parece perigoso, meio estranho até... mesmo sendo dificil alguem conseguir baixar um script desses pra ver a senha escrita lá, será que não existe uma forma melhor de fazer isso? não é possivel que grandes sites deixem as coisas assim...

q acham?

bestlinux
(usa Ubuntu)

Enviado em 17/01/2006 - 11:39h

Fala ae....ta se especializando mesmo em PHP hein...ehehehhehe

Então cara....eu faria da seguinte forma....realmente....esse negocio de deixar as senhas em um arquivo .php é fogo....mas eu faria da seguinte maneira....coloco todas as senhas e usuarios que vou usar em meu programa....em um unico arquivo chamado....lixo.php (nome nada chamativo...por que se você coloca senhas.php....ta na cara..rs.rs..)....

E nos outros arquivos .php que precisa-se dos usuarios e senhas....eu usuaria o "include" para incluir este arquivo em meus outros arquivos .php

Depois, eu utilizaria alguma criptografia "forte" para arquivos....assim...o arquivo "lixo.php" estaria criptografado....evitando possiveis usuarios "sacanas"...

Falow !

TazManíaco
(usa Debian)

Enviado em 20/01/2006 - 16:49h

Eu deixo os meus arquivos com usuário apache e só ele pode ler, e o diretório é protegido se permissão de cópia

reimassupilami
(usa Slackware)

Enviado em 24/01/2006 - 23:47h

ow Taz, explica melhor esse esquema ae, faz favor...

Oki
(usa Ubuntu)

Enviado em 17/04/2006 - 02:53h

Costumo tomar 2 cuidados:

1) Bloquear arquivos terminados em ~, pois tenho mania de editar coisas remotamente com nano/vim ai os backups são criados e nem sempre eu me lembro de apagá-los.

2) Faço com que o mysql aceite conexões apenas de localhost (ou server php->server mysql). Isso elimina boa parte dos problemas.

Deveria (ou deve ter) ter um esquema pra gente encriptar a senha com uma chave que correspondesse ao servidor, mas nunca pesquisei isso. Com certeza algum maluco já inventou algum trem desses, hehehe.

Essa de modificar os direitos do arquivo também é uma boa!

Agora se o sujeito realmente quiser roubar a senha, ele poderá usar métodos mais simples como por exemplo, usar um campo de upload para fazer up de um script ou então usar o velho SQL Injection.

Sinceramente, nunca fui maniaco por segurança, mas procuro tomar o mínimo de cuidado pra evitar os problemas mais comuns.

[]'s
Celso Goya

knowlink
(usa Arch Linux)

Enviado em 22/05/2006 - 21:51h

Pessoal, eu sei que o tópico é antigo mas como isso foi uma coisa que eu também perdi bastante tempo pesquisando, aí vai uma técnica que eu uso para dificultar o acesso às senhas:

Primeiro eu crio um arquivo com a seguinte estrutura:

usuario1:senha1
usuario2:senha2
 

Então eu o transformo em um arquivo base64, apesar de não ser criptografado é um encoding que não pode ser lido por um humano comum, o resultado das duas linhas acima fica assim:

dXN1YXJpbzE6c2VuaGExCnVzdWFyaW8yOnNlbmhhMgo=
 

Para isso eu uso um script próprio que transforma meu arquivo:

<?php
    $txtfd = fopen("senhas.txt","r");
    $txt = fread($txtfd, filesize("senhas.txt"));
    fclose($txtfd);

    $txtb64 = base64_encode($txt);

    $txtb64fd = fopen("senhas.kwl","w");
    fwrite($txtb64fd, $txtb64);
    fclose($txtb64fd);
?>
 

E então eu leio com este código:

<?php
    $fd = fopen("senhas.kwl","r");
    $txtb64 = fread($fd, filesize("senhas.kwl"));
    fclose($fd);
    echo "O arquivo criptografado contém este conteúdo:\n";
    echo "--------------- 8< -------------\n";
    echo $txtb64 . "\n";
    echo "--------------- 8< -------------\n\n";
    $txt = base64_decode($txtb64);
    $txt = preg_split('/\n/', $txt);
    foreach($txt as $user) {
        if($user) {
            $user = preg_split('/:/', $user);
            echo "Usuário: " . $user[0] . "   --->   Senha: " . $user[1] . "\n";
        }
    }

 

Não é algo muito seguro, mas dificulta bastante, outra técnica que se pode usar em conjunto é gravar o arquivo base64 fora do DocumentRoot, para evitar que alguém faça download do arquivo.

Abraços

juliaojunior
(usa Debian)

Enviado em 16/11/2006 - 14:34h

http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=5705

JuniorOsho
(usa Debian)

Enviado em 05/05/2007 - 14:23h

<?php

echo md5("123456");

echo "<br>";

echo md5("root");

?>