[Windmark]

#programowanie #bezpieczenstwo

Mogę do każdego hasła dodać taką samą sól, czy za każdym razem muszę generować ją od nowa i wpisywać razem ze skrótem hasła do bazy?

[raven4444]

@Windmark: powinna być unikalna dla usera dla bezpieczeństwa

[kolakao]

@Windmark: (#) Nową

[moooka]

@Windmark: taką samą możesz jak najbardziej, ale jak dasz inną to będzie jeszcze lepiej :)

[Dreszczyk]

@Windmark: jak dodasz do kazdego inną sól, to pamiętaj, żeby ją też gdzieś przechowywać, bo #!$%@? Twoje hasło strzeli x)

[volden]

@Windmark: zawsze jak czytam przepisy to jest "przyprawy według uznania" także chyba możesz dodawać tą sól jak chcesz

[Windmark]

@Dreszczyk: @moooka: @raven4444: @kolakao: Cholera, nie chce mi się poprawiać diagramu erd i projektu bazy. A login może być solą?

[hbpitero]

@Windmark: Nie musisz się babrać z generacją i przechowywaniem, możesz użyć chociażby logina czy jego fragmentu, lub innej właściwości użytkownika.

[kolakao]

@Windmark: (#) Nie może

[Windmark]

możesz użyć chociażby logina

@hbpitero: właśnie o to mi chodziło. Dzięki ;)

[Windmark]

@kolakao: dlaczego nie?

[kolakao]

@Windmark: (#) Bo sól ma być tajna. Login nie jest.

Możesz sól zapisywać w polu z hasłem: np:

hash_sha1 + '@' + sól

[hbpitero]

@kolakao: A kto powiedział, że ma być tajna? co to za różnica czy sól masz w kolumnie login czy w kolumnie password po małpie :D Jak ktoś widzi hash hasła i chce się bawić, to jest prkatycznie pewne że widzi i tak cały rekord, więc i sól po małpie

[hbpitero]

@Windmark: A tak w ogóle to ---> BCRYPT

[Windmark]

@kolakao: Ale w razie wycieku bazy i tak sól przestaje być tajna...

[hbpitero]

@Windmark: Sam używam BCRYPT a wcześniej robiłem tak: login usera + krótka sól configa "per application" schowana gdzieś niedostępnie poza bazą + SHA, i myślę, że to jest dość bezpieczne.

[raven4444]

@Windmark: jebnij datę rejestracji :D albo mejlem, albo loginem. Albo zaszalej i wymyśl sobie coś a'la co 2 litera loginu+rok albo jakieś takie cuda.