Discussion :

[adm_windoz]

bonjour,

J'ai une base de donnée mysql qui stocke des mots de passe pour des comptes FTP.

J'utilise php-pear pour interfacer la partie connexion FTP et donc ...... J'utilise ces comptes users et mot de passe stocké dans cette base ..

Le problème est peut être simple pour vous .
1 ) J'aimerais que les mots de passes n'apparaissent pas en clair dans la base
2) Encryptions ?? => sha1 ou AES_ENCRYPT() et AES_DECRYPT() ?
3) comment pourrais je utilisé les mots de passe depuis php une fois qu'elles seront chiffrés ?

Merci pour votre aide

Cdt

[LeGilou]

Bonjour

Si tu hashes le mot de passe (MD5 ou SHA), tu ne pourras pas te connecter sur une système dont tu ne maitrises pas l'authentification. Il faudrait que le mot de passe soit également hashé dans l'autre base.

Par contre, si tu cryptes le mot de passe pour l'insetion en base, tu vas pouvoir le décrypter avant de te connecter.
Attention :
- Quelqu'un qui a accès au code trouvera facilement la clé de cryptage.
- Les mots de passe ne seront pas cryptés pendant la connexion.

J'ai recemment utlisé Mcrypt. Ca fonctionne très bien.

Gillou.

[kaymak]

Salut,

Au choix de la technique, entre cryptage et hashage, il faut se poser une question simple. L'application doit elle être capable de me donner l'information en claire si j'en ai besoin.

Si oui, alors on crypte.
Si non, on hash, c'est plus sécurisé.

Dans les deux cas la lecture du code source permettra de casser l'obsfucation.
Ce serait comme obtenir la clef privée d'une communication ssl.

Bref pour être plus proche de la question de départ, la couche FTP est elle complètement géré par php ? Oui ? Alors tu hash. Non ? Alors tu cryptes.

Maintenant pour utiliser ces données et identifier Mr de Madame, c'est simple, dans les deux cas tu prends la valeur en entrée, tu la cryptes ou la hash, c'est selon, et tu effectues un match dans ta base avec cette donnée transformée.

Enfin pour préciser, dans les deux cas, que tu utilises crypt, mcrypt, aes, sha, md5, ect, ajoutes y un salt.
Sa évincera tout espoir de réussite pour un débile brut force.

voilà,
a plus

[adm_windoz]

Merci pour vos précieux conseils.
je vais resté silencieux quand à ma solution propre...

google hacking n'est pas notre amis..

Cordialement