PHP'de veritabanı şifreleri nasıl güvenli hale getirilir?

Bir PHP uygulaması bir veritabanı bağlantısı yaptığında, elbette genellikle bir kullanıcı adı ve şifre geçirmesi gerekir. Uygulamam için tek bir minimum izinli giriş kullanıyorsanız, PHP'nin bu giriş ve şifreyi bir yerde bilmesi gerekir. Bu şifreyi korumanın en iyi yolu nedir? Sadece PHP kodunda yazmak iyi bir fikir değil gibi görünüyor.

Birkaç kişi şifreleri bir veritabanında nasıl saklayacağına dair bir soru olarak yanlış anlıyor . Bu yanlış. Bu, erişmenizi sağlayan şifreyi nasıl saklayacağınızla ilgilidir . veritabanı.

Genel çözüm, parolayı kaynak kodun dışına bir yapılandırma dosyasına taşımaktır. Ardından yönetimi bırakın ve bu yapılandırma dosyasını sistem yöneticilerinize kadar güvenli hale getirin. Bu şekilde geliştiricilerin üretim parolaları hakkında hiçbir şey bilmelerine gerek kalmaz ve parolanızın kaynak denetiminizde kaydı yoktur.

Başka birinin sunucusunda barınıyorsanız ve web kökünüz dışında erişime sahip değilseniz, parolanızı ve / veya veritabanı bağlantınızı her zaman bir dosyaya koyabilir ve daha sonra .htaccess kullanarak dosyayı kilitleyebilirsiniz:

<files mypasswdfile>
order allow,deny
deny from all
</files>

En güvenli yol PHP kodunuzda belirtilen bilgilerin hiç olmamasıdır.

Apache kullanıyorsanız, httpd.conf veya sanal hosts dosya dosyanızdaki bağlantı ayrıntılarını ayarlamak anlamına gelir. Bunu yaparsanız, mysql_connect () parametresiz olarak çağırabilirsiniz, bu da PHP'nin bilgilerinizi asla vermeyeceği anlamına gelir.

Bu dosyalarda bu değerleri şu şekilde belirtirsiniz:

php_value mysql.default.user      myusername
php_value mysql.default.password  mypassword
php_value mysql.default.host      server

Sonra mysql bağlantınızı şöyle açın:

<?php
$db = mysqli_connect();

Veya bunun gibi:

<?php
$db = mysqli_connect(ini_get("mysql.default.user"),
                     ini_get("mysql.default.password"),
                     ini_get("mysql.default.host"));

Bunları web kökünün dışındaki bir dosyada saklayın.

Son derece güvenli sistemler için, veritabanı şifresini bir yapılandırma dosyasında (sistem yöneticisi tarafından güvence altına alınan) şifreleriz. Uygulama / sunucu başlangıcında, uygulama daha sonra sistem yöneticisinden şifre çözme anahtarını ister. Daha sonra veritabanı şifresi yapılandırma dosyasından okunur, şifresi çözülür ve ileride kullanılmak üzere hafızada saklanır. Şifrelenmemiş bellekte saklandığından hala% 100 güvenli değil, ancak bir noktada 'yeterince güvenli' demelisiniz!

Bu çözüm geneldir, çünkü hem açık hem de kapalı kaynak uygulamaları için yararlıdır.

1. Uygulamanız için bir işletim sistemi kullanıcısı oluşturun. Bkz. Http://en.wikipedia.org/wiki/Least_privilege
2. Parola ile o kullanıcı için (oturum olmayan) bir OS ortam değişkeni oluşturun
3. Uygulamayı bu kullanıcı olarak çalıştırın

Avantajları:

1. Parolalarınızı yanlışlıkla kaynak denetiminde kontrol edemezsiniz, çünkü yapamazsınız
2. Yanlışlıkla dosya izinlerini bozmazsınız. Evet, ama bunu etkilemez.
3. Sadece root veya o kullanıcı tarafından okunabilir. Kök zaten tüm dosyalarınızı ve şifreleme anahtarlarını okuyabilir.
4. Şifreleme kullanıyorsanız, anahtarı nasıl güvenli bir şekilde saklıyorsunuz?
5. X platformu çalışır
6. Envvar'ı güvenilmeyen çocuk süreçlerine geçirmediğinizden emin olun

Bu yöntem çok başarılı olan Heroku tarafından önerilmektedir.

veritabanı bağlantısının, kimlik bilgilerinin depolandığı dosyada oluşturulması mümkünse. Connect deyimindeki kimlik bilgilerini satır içinde.

mysql_connect("localhost", "me", "mypass");

Aksi takdirde, bağlantı deyiminden sonra kimlik bilgilerini ayarlamak en iyisidir, çünkü bellekte olmayan kimlik bilgileri bellekten okunamaz ;)

include("/outside-webroot/db_settings.php");  
mysql_connect("localhost", $db_user, $db_pass);  
unset ($db_user, $db_pass);  

Veritabanınıza erişmek için parolaya ihtiyacınız olduğunu söylediğiniz gibi, seçenekleriniz biraz sınırlıdır. Genel bir yaklaşım, kullanıcı adı ve parolayı ana komut dosyası yerine ayrı bir yapılandırma dosyasında saklamaktır. Ardından bunu ana web ağacının dışında sakladığınızdan emin olun. Php dosyalarınızı yürütülür yerine sadece metin olarak görüntülenmesini bırakan bir web yapılandırma sorunu varsa, bu şifre maruz değil.

Bunun dışında, kullanılan hesap için minimum erişime sahip doğru satırlardasınız. Buna ekle

• Kullanıcı adı / şifre kombinasyonunu başka hiçbir şey için kullanmayın
• Veritabanı sunucusunu bu kullanıcı için yalnızca web ana bilgisayarından bağlantıları kabul edecek şekilde yapılandırın (DB aynı makinede ise localhost daha da iyidir) Bu şekilde, kimlik bilgileri açık olsa bile, makinesi.
• Şifreyi gizleyin (ROT13 bile yapacaktır), bazıları dosyaya erişirse çok fazla savunma yapmaz, ancak en azından rahat bir şekilde görüntülenmesini önler.

Peter

PostgreSQL kullanıyorsanız, ~/.pgpassşifreleri otomatik olarak arar . Daha fazla bilgi için kılavuza bakınız .

Daha önce DB kullanıcısını / parolasını bir yapılandırma dosyasında depoladık, ancak o zamandan beri paranoyak moda geçtik - Derinlikte Savunma politikası benimsemiştik .

Uygulamanızın güvenliği ihlal edilirse, kullanıcının yapılandırma dosyanıza okuma erişimi olur ve bu nedenle bir krakerin bu bilgileri okuma olasılığı vardır. Yapılandırma dosyaları sürüm kontrolüne takılabilir veya sunucuların etrafına kopyalanabilir.

Kullanıcı / geçişin Apache VirtualHost'ta ayarlanan ortam değişkenlerinde depolanmasına geçtik. Bu yapılandırma yalnızca kök tarafından okunabilir - umarım Apache kullanıcınız kök olarak çalışmaz.

Bununla con, şimdi şifrenin Global PHP değişkeninde olmasıdır.

Bu riski azaltmak için aşağıdaki önlemlere sahibiz:

• Parola şifreli.PDO sınıfını, şifrenin şifresini çözmek için mantığı içerecek şekilde genişletiyoruz. Birisi bağlantı kurduğumuz kodu okursa, bağlantının şifrenin kendisiyle değil şifreli bir şifreyle kurulduğu açıkça görülmez.
• Şifrelenmiş parola genel değişkenlerden özel bir değişkene taşınır Uygulama, değerin genel alanda kullanılabileceği pencereyi azaltmak için bunu hemen yapar.
• phpinfo()devre dışı. PHPInfo, ortam değişkenleri de dahil olmak üzere her şeye genel bir bakış elde etmek için kolay bir hedeftir.

Veritabanı parolasını bir dosyaya koyun, dosyaları sunan kullanıcıya salt okunur yapın.

Sadece php sunucu işleminin veritabanına erişmesine izin vermenin bazı yolları yoksa, bu hemen hemen tüm yapabilirsiniz.

Veritabanı parolası hakkında konuşuyorsanız, bir tarayıcıdan gelen parola yerine, standart uygulama, veritabanı parolasını sunucudaki bir PHP yapılandırma dosyasına koymak gibi görünüyor.

Parolayı içeren php dosyasının üzerinde uygun izinlere sahip olduğundan emin olmanız gerekir. Yani sadece web sunucusu ve kullanıcı hesabınız tarafından okunabilir olmalıdır.

Sadece bir yerde bir yapılandırma dosyasına koymak genellikle böyle yapılır. Sadece şunlardan emin olun:

1. ağınız dışındaki herhangi bir sunucudan veritabanı erişimine izin verme,
2. şifreyi yanlışlıkla kullanıcılara göstermemeye dikkat edin (bir hata iletisinde veya yanlışlıkla HTML, vb. olarak sunulan PHP dosyaları aracılığıyla).

Bunu şu şekilde çözdük:

1. Diğer şifre sunucusundan açık bağlantı ile sunucuda memcache kullanın.
2. Parolayı (hatta şifrelenmiş tüm password.php dosyasını) artı şifresini çözmek için kaydedin.
3. Web sitesi, şifre dosyası parolasını tutan memcache anahtarını çağırır ve tüm şifrelerin belleğinde şifresini çözer.
4. Parola sunucusu her 5 dakikada bir yeni bir şifrelenmiş parola dosyası gönderir.
5. Projenizde şifreli password.php kullanıyorsanız, bu dosyanın harici olarak dokunulup dokunulmadığını veya görüntülenip görüntülenmediğini kontrol eden bir denetim yaparsınız. Bu durumda, belleği otomatik olarak temizleyebilir ve sunucuyu erişim için kapatabilirsiniz.

Ek bir hile, şöyle görünen bir PHP ayrı yapılandırma dosyası kullanmaktır:

<?php exit() ?>

[...]

Plain text data including password

Bu, erişim kurallarını düzgün bir şekilde ayarlamanıza engel olmaz. Ancak web sitenizin saldırıya uğraması durumunda, bir "gereksinim" veya "içerme" ilk satırdaki komut dosyasından çıkacaktır, böylece verileri almak daha da zorlaşacaktır.

Yine de, bir dizindeki yapılandırma dosyalarının web üzerinden erişilmesine izin vermeyin. Denetleyici kodunuzu, css, resim ve js içeren bir "Web" klasörünüz olmalıdır. Bu kadar. Başka her şey çevrimdışı klasörlere gider.

En iyi yol şifreyi hiç saklamamaktır!
Örneğin, bir Windows sistemindeyseniz ve SQL Server'a bağlanıyorsanız, geçerli işlemin kimliğini kullanarak veritabanına parola olmadan bağlanmak için Tümleşik Kimlik Doğrulama'yı kullanabilirsiniz.

Eğer bir şifre birinci bağlantı kurmak gereğini yaparsanız şifrelemek onu, (örneğin AES-256 kullanılarak ve ardından şifreleme anahtarını koruyabilir veya sertifika korumak OS asimetrik şifreleme kullanılarak ve var) güçlü şifreleme kullanarak ve ardından a depolar güçlü ACL'lere sahip yapılandırma dosyası (web dizininin dışında) .