Orta ila düşük güvenlik riski olan bir uygulama için bir giriş oluşturursam (başka bir deyişle, bir bankacılık uygulaması veya herhangi bir şey değil), kullanıcı tarafından girilen bir şifreyi yalnızca şöyle bir şey söyleyerek doğrulamak benim için kabul edilebilir mi:

if(enteredPassword == verifiedPassword)
     SendToRestrictedArea();
else
     DisplayPasswordUnknownMessage();

Etkili olmak kolay görünüyor, ancak gerekli olan her şeyin bu olup olmadığını kesinlikle umursamıyorum. Kullanıcı adı / şifre kombinasyonu üzerinde basit bir kontrol yeterli mi?

Güncelleme: Belirli bir proje bir web hizmeti olur, doğrulama tamamen sunucu tarafındadır ve açık kaynak değildir. Alan adı, bununla nasıl başa çıkacağınızı değiştiriyor mu?

SSL olmadan değil

Parola ağ üzerinden düz metin olarak gönderilirse bu güvenli değildir. Parola ağ üzerinden düz metin olarak gönderilirse, sunucu tarafında parolayı karma yapmak güvenli değildir.

HTML <input type="password"/>etiketi, içeriğini düz metin olarak gönderdiğinden, web siteniz şifreyi iletmek için SSL kullanmadığı sürece, şifreyi sunucuda nasıl saklarsanız saklayın, bu bir sorun olacaktır.

(Tarayıcıda şifre isteyen bir iletişim kutusu açan HTTP kimlik doğrulaması, sunucunun ve tarayıcının ortak kimlik doğrulama mekanizmalarına bağlı olarak açık metin olabilir veya olmayabilir. SSL.)

Site yöneticileri şüpheli değilse değil

Şimdi, web sitesini yapmak için HTTPS kullandığınızı varsayarsak, site yöneticilerinize (düz metin şifrelerini okuyabilen) ve makineye erişimi düzgün olan diğer kişilere güveniyorsanız bu güvenli olabilir. Şimdi, web sitenizle istedikleri her şeyi yapabildikleri açıktır (yönettiklerinden beri), ancak şifreyi okuyabilirlerse, çalınan giriş / şifre çiftlerini başkalarının sitelerinde de kullanabilirler.

Şifreleri yönetici tarafından güvende tutmanın bir yolu

Parolaları depolamanın ve kontrol etmenin güvenli bir yolu aşağıdaki gibidir:

def change_password user, new_password
  salt = random(65536).to_s(16) #will be 4 characters long
  password_hash = salt + hash(salt + new_password)
  store(user,password_hash)
end

def does_password_match? user, entered_password
  correct_password_hash = retrieve(user)
  salt = correct_password_hash[0...4]
  entered_password_hash = salt + hash(salt + entered_password)
  return correct_password_hash == entered_password_hash
end

Karma işlevi için, güçlü bir şey ve henüz vahşi doğada iyi gökkuşağı tabloları olmayan bir şey kullanmaya çalışın. Gerekirse tuz masalarının uzunluğunu değiştirebilirsiniz.

İçinde bulunduğunuz ortama, ağ gecikmenizdeki değişkenliğe ve kullanıcı adlarının genel olarak bilinip bilinmediğine bağlı olarak, hash('0000'+entered_password)saldırganların hangi kullanıcı adlarının geçerli olacağına bağlı olarak parolanın yanlış olduğunu belirleyin.

Bu, düşük güvenlik senaryolarında bile şifreleri açık metin olarak tuttuğunuzu gösterir.

Şunlara sahip olmalısınız:

if(hash(enteredPassword) == storedHash)

Basit karmayı örneğin MD5 gibi kullanabilirsiniz

Karma önerenlerle aynı fikirdeyim, ama burada yeniden keşfettiğiniz bir tekerlek de var. Platforma bağlı olarak, muhtemelen tüm kullanıcı yönetim malzemelerini güvenli bir şekilde ve güvenli bir şekilde kapsayan bir rol / kullanıcı yönetimi aracı bulabilirsiniz.

Güvenlik çok hassas bir konudur, çünkü özellikle kullanıcılarınızı rahatsız etmekle bilgilerinin güvenli olduğundan emin olmak arasında bir denge olması gerekir. Tipik olarak, ne kadar güvenliğe ihtiyacınız olduğu formülü, verilerin öneminin bir fonksiyonudur. Kısacası:

isSecuritySufficient = effortToBreak > rewardForBreaking

Kötü şeyler yapan insanlar hakkında yaygın bir yanlış anlama peşinde oldukları şeydir. Çoğu güveni yok etmek için dışarıdalar . Kullanıcılarınızın güvenini korumak için her zaman elinizden geleni yapmalısınız. Bunun bir kısmı, kimliklerinin güvenli olduğundan emin olmak için gereken özeni gösterir . Sakladıkları verilerle daha az ilgilenebilirler, ancak en düşük güvenlik eşiğinde bile kimliklerine önem verirler.

Kullanılabilecek bir dizi düşük maliyetli (kullanıcıyı uygulamak ve etkilemek) seçenekler vardır. Bunlardan biri şifreyi en azından çıplak olarak kullanmaktır. Parola kadar hassas bir şeyi düz metin olarak saklayan herhangi bir hizmet, saldırıya uğramanın utanmasını hak eder.

Parola Koruması için Genel İlkeler

• Parolaları asla düz metin olarak saklamayın
• SHA-1 veya hatta SHA-512 gibi güvenli bir karma işlevi kullanarak karma (MD5 bile eşleşen bir karma bulmak çok kolaydır)
• Bir uygulama tuzu değeri kullanın. Tuz, tahmin etmeyi zorlaştırmak için bir parolaya eklenen rastgele bayttır. Tuz, çalışma zamanında ve herhangi bir şekilde depolanıp referans verilmek yerine bir tohum değeri olarak makine hakkındaki bilgiler kullanılarak üretilmelidir.
• Kullanıcıya özgü bir tuz değeri kullanın. Bunu uygulama tuzunuzla birlikte kullanın.
• Ağ üzerinden geçen tüm kimlik doğrulama isteklerini şifreleyin . Bu, web uygulamaları için SSL kullanılması anlamına gelir.

Kimlik doğrulama için SSL kullanacağınız için, en azından kullanıcının hesabıyla ilgili tüm sayfaları da şifrelemek istersiniz. Bu, bir kullanıcının kimliğinin mümkün olduğunca korunmasını sağlar.

Parola yönetimi hakkında bir not : Kullanıcılar zaman zaman parolalarını unutacaktır. Mutlak kötü Yapabileceğiniz şey bir e-posta onlara şifrelerini göndermektir. Yukarıda belirtilen ilkeleri uygularsanız, bunu yine de yapamazsınız. Kayıtlı e-posta adreslerine gönderilen bir bağlantıyı kullanarak şifrelerini sıfırlamanın bir yolunu sağlamak daha iyidir. Bu sıfırlama bağlantısının, sayfaya erişen kişinin kendisinin olduğundan emin olmak için bir kerelik kullanım kodu olacaktır.

Şifre başka bir şey için kullanılmadığı sürece sorun olmaz. Kullanıcının şifreyi yeniden kullanabileceğine karar verme riski hala vardır, bu nedenle aşağıdakilerle daha da iyi olur:

if(hash(enteredPassword) == hashOfValidPassword)

Kendiniz veya parolanın düz metin olarak saklandığını bilen biri varsa, o zaman sorun yoktur.

Kaynak kodu mevcut mu? Değilse bile, ikili kullanılabilir durumda parolanın makine talimatlarında bulunabileceğinden eminim. Bir sağlama toplamı yapmayı ve bunun yerine karşılaştırmayı öneririm.

Sizce çok önemli olmasa bile güvenliği asla göz ardı etmeyin.

Kesinlikle hayır. Bir okuma var bu , bu hacker bir güvenlik web sitesini hack açıklamaktadır. Seni zincirdeki en zayıf halka olarak yapmayı planlıyorsun.

Birkaç cevapta parolanın kendisini değil bir karma değerini saklamanız gerektiği ve SSL kullanmanız gerektiği belirtildi.

Diyebilirsiniz ki, önemli olan nedir? Başvurum hacklenirse, bu çok endişe verici. Kullanıcıların aynı şifreyi tüm sitelerde kullanması oldukça yaygın bir modeldir. Sitenizi hacklemek ve kullanıcının şifrelerine erişmek için bir hackerdı, hacker, bu kullanıcılar için çok daha önemli olan diğer sitelerde bu kullanıcıların çoğunu taklit edebilecektir. Bu nedenle , sitenizi hacklemek, bir bilgisayar korsanının kullanıcılar için bankacılık bilgilerine erişmesi için ilk adım olabilir .

Ve sadece şifre hash yeterli değildir. Bir tuzla karıştırmalısınız. Hackerların ters karma arama tabloları vardır, bu nedenle belirli bir karma için eşleşen bir şifre bulabilirler.

Bu özelliği uygulamamayı seçerseniz, kullanıcıları bu güvenlik eksikliğinden haberdar etmeli ve başka yerlerde kullandıkları şifreyi kullanmamaları konusunda teşvik etmelisiniz.

Bu sunucu tarafı olduğu sürece .. O zaman evet.

Biraz daha fazla güvenlik istiyorsanız https için gidin ve DB'de şifreyi \ hash şifreleyin.