Sikkerhet ved "Oppkobling og query mot mysql"

[Daniel Guanio]

[sven-o]

Ingen som har sagt at du ikke kan kryptere.

MD5 er en fin kryptering som støttes av både javascript og php.

[b-urn]

Ingen som har sagt at du ikke kan kryptere.

MD5 er en fin kryptering som støttes av både javascript og php.

 

.. Interesting. :o

 

Men hvordan kan dette brukes til å gjemme brukernavn/passord for databaseoppkopling hvis PHP-skriptet på en eller annen måte er lesbart av uvedkommende?

[sven-o]

Min feil. Det gikk litt fort dette her... Jeg tenkte på en passord i en brukerdatabase. :oops:

 

Det som er standard sikker fremgangsmåte ved lagring av sensitive innstillinger mht. feks. databaseoppkopling, er å legge dette i en egen fil. Denne filen legges utenfor web-området, eller i en "<Deny from all>"-katalog. På den måten vil det være umulig for utenforstående å få tak i informasjonen. Unntaket er jo selvfølgelig om noen hacker seg inn på serveren, men da vil jeg si du har andre større problemer å tenke på....

MySQL og kryptert oppkopling har jeg aldri hør om...

[farfuture]

Det som er standard sikker fremgangsmåte ved lagring av sensitive innstillinger mht. feks. databaseoppkopling, er å legge dette i en egen fil. Denne filen legges utenfor web-området, eller i en "<Deny from all>"-katalog.

 

Takk for svar! Ja, det høres ut som er grei løsning. Men tilleggsspørsmål angående de 2 måtene å legge innholdet i en egen fil.

 

Når jeg ftp-oppkobler meg til server-området mitt, som jeg har på et webhotell, kommer jeg rett inn på web-området mitt. Jeg vet ikke hvordan jeg skal klare å legge en fil "utenfor" dette web-området. Når jeg går ned et nivå i katalogstrukturen, ser jeg jo bare områdene (katalogene) til alle de andre som leier på dette webhotellet, og jeg kan ikke se hvordan jeg skal klare å legge noe her?

 

Den beste løsningen for meg er nok derfor å legge fila i en "Deny from all" katalog. Vil dette si å bruke CHMOD-kommandoen, eller må jeg lage en .htaccess for å lage en passordbeskyttet katalog?

[Xqtor]

Jeg pleier å sette .inc-endelse på slike filer og så legger jeg inn en .htaccess i mappen:

<Files *.inc> 

Order deny,allow 

Deny from all 

</Files>

Det funker på de fleste unix webhotel tror jeg, men du bør sjekke det før du legger inn "ekte" passord og slikt.