protegendo senhas

1. protegendo senhas

reimassupilami
(usa Slackware)

Enviado em 17/01/2006 - 11:14h

dae povo, bom dia... estou eu mais uma vez no top dos topicos, ehehhehe...

olha só, quando fazemos script de conexão a banco de dados ou ftp por padrão acabamos deixando usuario e senhas dentro do script, pra q seja feitas as conexões com as funções relativas...

isso me parece perigoso, meio estranho até... mesmo sendo dificil alguem conseguir baixar um script desses pra ver a senha escrita lá, será que não existe uma forma melhor de fazer isso? não é possivel que grandes sites deixem as coisas assim...

q acham?

0 0

Quote

2. Re: protegendo senhas

bestlinux
(usa Ubuntu)

Enviado em 17/01/2006 - 11:39h

Fala ae....ta se especializando mesmo em PHP hein...ehehehhehe

Então cara....eu faria da seguinte forma....realmente....esse negocio de deixar as senhas em um arquivo .php é fogo....mas eu faria da seguinte maneira....coloco todas as senhas e usuarios que vou usar em meu programa....em um unico arquivo chamado....lixo.php (nome nada chamativo...por que se você coloca senhas.php....ta na cara..rs.rs..)....

E nos outros arquivos .php que precisa-se dos usuarios e senhas....eu usuaria o "include" para incluir este arquivo em meus outros arquivos .php

Depois, eu utilizaria alguma criptografia "forte" para arquivos....assim...o arquivo "lixo.php" estaria criptografado....evitando possiveis usuarios "sacanas"...

Falow !

0 0

Quote

3. Meu truque

TazManíaco
(usa Debian)

Enviado em 20/01/2006 - 16:49h

Eu deixo os meus arquivos com usuário apache e só ele pode ler, e o diretório é protegido se permissão de cópia

0 0

Quote

4. Re: protegendo senhas

reimassupilami
(usa Slackware)

Enviado em 24/01/2006 - 23:47h

ow Taz, explica melhor esse esquema ae, faz favor...

0 0

Quote

5. Re: protegendo senhas

Oki
(usa Ubuntu)

Enviado em 17/04/2006 - 02:53h

Costumo tomar 2 cuidados:

1) Bloquear arquivos terminados em ~, pois tenho mania de editar coisas remotamente com nano/vim ai os backups são criados e nem sempre eu me lembro de apagá-los.

2) Faço com que o mysql aceite conexões apenas de localhost (ou server php->server mysql). Isso elimina boa parte dos problemas.

Deveria (ou deve ter) ter um esquema pra gente encriptar a senha com uma chave que correspondesse ao servidor, mas nunca pesquisei isso. Com certeza algum maluco já inventou algum trem desses, hehehe.

Essa de modificar os direitos do arquivo também é uma boa!

Agora se o sujeito realmente quiser roubar a senha, ele poderá usar métodos mais simples como por exemplo, usar um campo de upload para fazer up de um script ou então usar o velho SQL Injection.

Sinceramente, nunca fui maniaco por segurança, mas procuro tomar o mínimo de cuidado pra evitar os problemas mais comuns.

[]'s
Celso Goya

0 0

Quote

6. Tópico antigo

knowlink
(usa Arch Linux)

Enviado em 22/05/2006 - 21:51h

Pessoal, eu sei que o tópico é antigo mas como isso foi uma coisa que eu também perdi bastante tempo pesquisando, aí vai uma técnica que eu uso para dificultar o acesso às senhas:

Primeiro eu crio um arquivo com a seguinte estrutura:



usuario1:senha1

usuario2:senha2

Então eu o transformo em um arquivo base64, apesar de não ser criptografado é um encoding que não pode ser lido por um humano comum, o resultado das duas linhas acima fica assim:



dXN1YXJpbzE6c2VuaGExCnVzdWFyaW8yOnNlbmhhMgo=

Para isso eu uso um script próprio que transforma meu arquivo:



<?php

    $txtfd = fopen("senhas.txt","r");

    $txt = fread($txtfd, filesize("senhas.txt"));

    fclose($txtfd);



    $txtb64 = base64_encode($txt);



    $txtb64fd = fopen("senhas.kwl","w");

    fwrite($txtb64fd, $txtb64);

    fclose($txtb64fd);

?>

E então eu leio com este código:



<?php

    $fd = fopen("senhas.kwl","r");

    $txtb64 = fread($fd, filesize("senhas.kwl"));

    fclose($fd);

    echo "O arquivo criptografado contém este conteúdo:\n";

    echo "--------------- 8< -------------\n";

    echo $txtb64 . "\n";

    echo "--------------- 8< -------------\n\n";

    $txt = base64_decode($txtb64);

    $txt = preg_split('/\n/', $txt);

    foreach($txt as $user) {

        if($user) {

            $user = preg_split('/:/', $user);

            echo "Usuário: " . $user[0] . "   --->   Senha: " . $user[1] . "\n";

        }

    }

Não é algo muito seguro, mas dificulta bastante, outra técnica que se pode usar em conjunto é gravar o arquivo base64 fora do DocumentRoot, para evitar que alguém faça download do arquivo.

Abraços

1 0

Quote