0

В прошлый вопрос был о безопасности пользовательских данных. С этим вопросом разобрался. Достал книжки и прочитал. Решение нашел в sh1($salt, $pepper);

Но ведь кроме взлома пользовательских данных могут и взломать БД, что еще хуже приведет к потере всех данных. Как с этим бороться? Что предлагаете? В какую сторону смотреть?

Ну, про инъекцию знаю. Он следующий в списке, что должен рассмотреть.

P.S Я только начинаю веб программирование и безопасность. Так что прошу ответы для этого уровня :)

3
  • 1
    > решение нашел в sh1($salt, $pepper); Если еще успеваете, перебейте на более серьезный алгоритм (sha512, например). sha1 уже считается ненадежным.
    – etki
    24 янв 2014 в 10:00
  • Я только что читаю про алгоритмы хеширования. Планирую использовать двойное хеширование с помощью разных алгоритмов и плюс придумать свой алгоритм, типа salt1/2 и тд. Думаю смогу так повысить безопасность. Как думаете?
    – navi1893
    24 янв 2014 в 10:08
  • @navi1893, вообще да, но не так сильно, как лишние сто раундов все того же хеша. Злоумышленник, который получил доступ к вашим хешам, скорее всего имеет доступ и к алгоритмам, вопрос останется только в скорости подбора, и чем сильнее алгоритм, тем ему будет сложнее. т.е. все равно все упирается в сложность конкретного алгоритма и количество циклов (посмотрите функцию crypt, там по умолчанию sha512 прогоняется 5000 раз). Вообще лучше не выдумывать свои схемы, если не освоен какой-то курс криптографии. Есть много очень интересных атак, про которые вы можете забыть или вообще не знать.
    – etki
    24 янв 2014 в 10:14

2 ответа 2

5

Не используйте рутового юзера (root). Создайте пользователя, и ограничьте его права, запретите к удалять базу, создавать базу, удалять\модифицировать таблицы etc. Всегда фильтруйте все получаемые из вне данные, так как в них могут внедрить sql инъекцию. Для каждой базы, используйте отдельного пользователя со своими правами доступа.

2
  • А если мне самому нужно будет удалять, создавать БД?
    – navi1893
    24 янв 2014 в 9:41
  • @navi1893 в этом случае используйте рута, само собой. Я имел в виду пользователей, под которыми Ваши сайты (приложения) будут обращаться к БД.
    – naym
    24 янв 2014 в 9:56
4

Безопасность доступа к БД это работа не программиста, а системного администратора. В его обязанности входит правильно настроить сервер для безопасной работы. Но помните одно - что человек придумал, то другой человек сможет поломать. Первая фраза в моей настольной книге "Безопасность в системах *nix" - "Самый устойчивый по безопасности сервер - это тот который не подключён к сети и закрыт в коробке, и то не на 100%". Для минимизации возможности удаления записей в БД с помощью sql-инъекций почитайте про вьюхи . И самое главное "паранойя". Старайтесь проверять все входящие данные.

2
  • 2
    Бывают и такие инъекции: !SQL injection
    – Barmaley
    24 янв 2014 в 11:20
  • Поэтому и надо фильтровать все данные из вне!)
    – naym
    24 янв 2014 в 14:19

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.