Weboldalkészítés php-oop alapon. 1.rész

[gzoli]

Geri eredeti hozzászólása

select password from hirdetok where username = 'akármi' limit 1

Szerintem sosem szabad visszaolvasni adatbázisból a jelszót, vagy annak bármilyen tárolt formáját. Úgy gondolom, sokkal biztonságosabb, ha mi adjuk be a megadott jelszót, és megvizsgáljuk van-e ilyen sor. Esetlegesen ennél a megoldásnál ha jól vannak kezelve a " ' jelek, akkor egy próbálkozásnál biztosan nem fogja megtudni a tárolt jelszót vagy annak valamilyen kódolt változatát.

[Geri]

hetes eredeti hozzászólása

Hogyan lehet utólag indexet csinálni egy mezőnek?
Mert erre én sem figyeltem amikor a sajátomat tákoltam. Most viszont elkezdett hirtelen nagy szükségem lenni rá.

a legegyszerűbb phpmyadminban. a mezők sorának a végén vannak ikonok amivel index-eket lehet adni a mezőkhöz. ha nincs myadmin akkor itt a leírás:
http://dev.mysql.com/doc/refman/5.0/...ate-index.html

[Geri]

gzoli eredeti hozzászólása

Szerintem sosem szabad visszaolvasni adatbázisból a jelszót, vagy annak bármilyen tárolt formáját. Úgy gondolom, sokkal biztonságosabb, ha mi adjuk be a megadott jelszót, és megvizsgáljuk van-e ilyen sor. Esetlegesen ennél a megoldásnál ha jól vannak kezelve a " ' jelek, akkor egy próbálkozásnál biztosan nem fogja megtudni a tárolt jelszót vagy annak valamilyen kódolt változatát.

ebben az esetben a jelszónak egyedinek kellene lenni, ami nem igazán jó megoldás. azt pedig még nem tudjuk hogy a jelszót fogja e péter tárolni vagy a hashelt változatát amit nyugodtan lekérdezhetünk

[bardi.peter]

Geri eredeti hozzászólása

azt pedig még nem tudjuk hogy a jelszót fogja e péter tárolni vagy a hashelt változatát...

A jelszót mint mindig MD5-l lesz lekódolva, és Geri figyelemfelkeltő tanácsára INDEX-k fogok elhelyezni az adatbázisban amit utólag itt is frissítek...

[edem]

gzoli eredeti hozzászólása

Szerintem sosem szabad visszaolvasni adatbázisból a jelszót, vagy annak bármilyen tárolt formáját. Úgy gondolom, sokkal biztonságosabb, ha mi adjuk be a megadott jelszót, és megvizsgáljuk van-e ilyen sor. Esetlegesen ennél a megoldásnál ha jól vannak kezelve a " ' jelek, akkor egy próbálkozásnál biztosan nem fogja megtudni a tárolt jelszót vagy annak valamilyen kódolt változatát.

Szerintem az adatbázisban nem a jelszót kéne tárolni, hanem egy md5-el titkosított kódot, és amikor valaki beír valamit, akkor azt is md5-ölöd és összehasonlítod az md5-öket. Nem vagyok profi, de nekem ez tűnik logikusnak.

[TLoF]

Akkor gyorsan tegyük hozzá még azt, hogy a publikus rainbow táblák kora óta nem tárolunk jelszót egyszerű md5 hasheléssel, hiszen igy pár másodperc alatt vissza fejthető.

A jobb megoldás az, hogy a legalább egy egyedi stringet bele rakunk mondjuk a weblap nevét.

$passwd_hash = md5('weboldalcim' . $_POST['passwd']);

Ez sem rossz módszer, de azért még mindig sérülékenyebb az md5 táblákra, hiszen állandó a kódolási algoritmus.

A másik módszer, hogy valami változó stringet használunk kódoláshoz. Ha kikötöd, hogy a felhasználó nem cserélhet login name-t. akkor jó megoldás a következő:

$passwd_hash = md5($_POST['user'] . $_POST['passwd']);

Ezzel sikerült elérned, hogy minden jelszó egyedi hashelést tartalmaz, vissza fejtése elég macerás.

Lehet arra hivatkozni, hogy az sha1 es hosszabb stringeket generál, és az biztonságosabb, viszont a rainbow táblás módszer ellen ez a tényező nem számit.

[House]

Én nem érteni ezen téma, de tudtommal:
OOP = Obektum Orientált Programozás
OPP= ?

Mivel többször is szerepel a topicnyitó h.sz.-eiben, gondolom nem elírás.

[Geri]

House eredeti hozzászólása

Én nem érteni ezen téma, de tudtommal:
OOP = Obektum Orientált Programozás
OPP= ?

Mivel többször is szerepel a topicnyitó h.sz.-eiben, gondolom nem elírás.

szerintem elirás. a címet javítottam.

[House]

Geri eredeti hozzászólása

szerintem elirás. a címet javítottam.

Mivel sok helyen, látszólag következetesen volt így írva, ezért gondoltam, hogy nem elírás.

Persze a lényeg az, hogy most már legalább a cím stimmel.

[Geri]

House eredeti hozzászólása

Mivel sok helyen, látszólag következetesen volt így írva, ezért gondoltam, hogy nem elírás.

Persze a lényeg az, hogy most már legalább a cím stimmel.

látom amit írsz, de szerintem elírás. aztán ha mégsem akkor a topicnyitó majd jelzi