MySQL - Sikker oppbevaring av passord

[Erik B.]

Hei,

er helt fersk i MySQL, men kan det mest grunnleggende.

Jeg har en database, i den er det en tabell som heter brukere, her lagres informasjon om brukere.

 

Jeg har 5 kollonner; Navn, epost, stilling, id og passord.

 

Jeg kunne selvfølgelig hvert så sleip at jeg kunne se alle brukerenes passord, men det vil jeg ikke.

 

Hvordan gjør jeg slik at passordene på en eller annen måte blir kryptert?

 

Takker.

[Frank2004]

Hei,

er helt fersk i MySQL, men kan det mest grunnleggende.

Jeg har en database, i den er det en tabell som heter brukere, her lagres informasjon om brukere.

 

Jeg har 5 kollonner; Navn, epost, stilling, id og passord.

 

Jeg kunne selvfølgelig hvert så sleip at jeg kunne se alle brukerenes passord, men det vil jeg ikke.

 

Hvordan gjør jeg slik at passordene på en eller annen måte blir kryptert? 

 

Takker.

6951990[/snapback]

 

Legg til kolonnen salt char(20), og endre passord-kolonnen til char(32) for md5, eller char(40) for sha1 - og du kan sikkert kalle den hash eller digest i stedet, om du vil.

 

Når brukerens passord skal lagres velger du et nytt salt bestående av tilfeldige tegn, og lagrer dette sammen med hex-encodingen for md5(salt + passord) eller sha1(salt+passord).

 

At brukerens passord stemmer kan du sjekke ved å sammenligne det saltede og hashede passordet med verdien fra db.

 

Poenget med saltet er å hindre angripere fra å slå opp passordet i hash->passord -tabeller. 20 tegn er absolutt overkill, men 10 ekstra bytes pr. bruker vil du aldri merke noe til uansett.

 

PS: Hvorfor mysql?

Endret 27. september 2006 av Frank2004

[stian90_2]

hva er galt med mysql ? ^^

[Ernie]

hva er galt med mysql ? ^^

6959851[/snapback]

Fordi den er hypersensitiv for det meste innen krasj osv., og man ender alt for fort opp med korrupte data (gjelder spesielt myisam). Mysql er rask, men der er det også en bråstopp. Rekonstruksjon av data? Glem det. Datasikkerheten og dataintegriteten i mysql er etter min mening en stor, lang vits (igjen, gjelder spesielt myisam).

Endret 4. oktober 2006 av Ernie