Discussion :

[Shiriru-san]

Bonjour,

Je cherche à crypter certains champs d'une base de données (email, date de naissance, etc) et après quelques recherches je suis tombé sur la fonction MySQL AES_ENCRYPT/AES_DECRYPT et ce tuto --> http://krierjon.developpez.com/mysql...hp?page=page_6

Par contre un point me titille et me dérange: d'un point de vue strictement BDD, je suis d'accord, les données sont cryptées mais le hic (enfin pour moi) est que la clé de décryptage est lisible en clair dans la source PHP!

Donc les questions qui en découlent :

1. un serveur FTP est beaucoup plus difficile à hacker qu'une base de données? (gros gros doute là-dessus vu le nombre de hack par jour)
2. faut-il stocker la clé ailleurs? Si oui, où?

Merci par avance pour vos lumières

[sabotage]

Tu peux limiter les choses en incluant la clef depuis un fichier en dehors de l'arborescence ftp et web mais si quelqu'un arrivait a obtenir des droits de lecture entier sur ton système il pourrait l'avoir quand même.

De toute façon, pour ouvrir une porte, il faut une clef et cette clef doit bien être accessible d'une manière ou d'une autre.

[Shiriru-san]

Effectivement j'avais pensé à cela mais c'est difficile voire impossible à mettre en place sur un serveur mutualisé.

De plus si PHP arrive à le lire alors quelque un possédant un accès FTP pourrait l'obtenir lui aussi. En même temps, je me rend compte qu'il est impossible de cacher quelque chose à une personne ayant un accès FTP tout en restant accessible via PHP ... Comme tu l'as dit, il faut bien que la clé soit quelque part!

Donc retournons la question : comment rendre un FTP (un peu) plus sécurisé que la moyenne? Voici mon idée:
1. mot de passe complexe (ouai bon c'est une évidence mais ...)
2. limiter le nombre de personnes ayant cet accès
3. connexion exclusive en sFTP

D'autres choses?

[sabotage]

De plus si PHP arrive à le lire alors quelque un possédant un accès FTP pourrait l'obtenir lui aussi.

Pas si le fichier est en dehors des accès FTP ; mais sur un serveur mutualisé macache.

[Shinji62]

Salut,
Tu peux aussi utiliser des obfuscateurs de code PHP, certains sont assez puissant, zend_encoder and co ou mettre ta clé en base mysql ( droit restreint etc..) ...
Ensuite tu peux mettre des droits sur tes fichiers PHP .... si tes scripts sont bien fait tu ne devrais pas avoir de problèmes de piratages par PHP.

[Shiriru-san]

Salut,
Tu peux aussi utiliser des obfuscateurs de code PHP, certains sont assez puissant, zend_encoder and co

J'avais carrément zappé cette possibilité, c'est juste un peu plus technique à mettre en place mais pourquoi pas