Zabieram się do napisania skryptu logowania, ale bardzo zależy mi na bezpieczeństwie przechowywanych i przesyłanych danych. I tu mam kilka pytań odnośnie tego:
1. Jak przechowywać informację o zalogowaniu ? Sesja ? Co z podrobieniem czy 'wykradzeniem' sesji ? Jakiś specjalny identyfikator sesji ? Generowany na podstawie "nr. buta" użytkownika ?
2. wykorzystywać jakiś algorytm do przechowywania tych haseł ? Md5 ? sha1 ? może mcrypt? ew jakieś inne bezpieczniejsze ?
3. Gdzie przechowywać ? Plik,(i/lub) ? Mysql ?
4. Jak wygląda sprawa z SSL ? Jakieś specjalne wymagania ? od strony php oczywiście.
4,5 Może jakiś framework..?
5. Na co zwrócić uwage przy pisaniu takiego skryptu ?
Będzie wykorzystany na stronie na której planowany jest dosyć spory ruch i przechowywane bardzo poufne informacje wiec prawdopodobieństwo ataków na takie logowanie podejrzewam że będzie sporo..
Ktoś ma ew jakieś inne pomysły jak takie coś zrealizować ?
edit:
Znalazłem w międzyczasie taka funkcje:
Kod
function mrp() {
$salt = "iy987234h23j4iusfdh3u24";
srand((double)microtime()*1000000);
$i = 0;
while ($i <= 7) {
$num = rand() % 33;
$tmp = substr($salt, $num, 1);
$pass = $pass . $tmp;
$i++;
}
return $pass;
}
$random_pass = mrp();
$db_pass = md5($random_pass);
$salt = "iy987234h23j4iusfdh3u24";
srand((double)microtime()*1000000);
$i = 0;
while ($i <= 7) {
$num = rand() % 33;
$tmp = substr($salt, $num, 1);
$pass = $pass . $tmp;
$i++;
}
return $pass;
}
$random_pass = mrp();
$db_pass = md5($random_pass);
Co myślicie na ten temat ?
