Comment stocker en toute sécurité les mots de passe pour une utilisation côté serveur?

Question

Je suis à la recherche d'un moyen sécurisé pour stocker les mots de passe FTP dans une base de données qui ne sont utilisables que par des utilisateurs spécifiques. Les détails FTP doivent être stockés de telle manière que si toute la base de données est exposée, le mot de passe FTP n'est pas exposé. Cela devrait probablement s'appuyer sur le mot de passe de l'utilisateur pour temporairement décrypter le mot de passe FTP uniquement lorsque l'utilisateur demande une action FTP. Je suis à la recherche d'une solution qui pourrait implémenter cela. Probablement utile pour l'ajouter, il s'agit d'une application web utilisant javascript et php.

Il ne s'agit pas de savoir comment utiliser le sel, les hachages, md5, sha1, etc. Il s'agit de sécuriser les mots de passe FTP que le serveur devrait pouvoir utiliser, par ex. se connecter à un serveur FTP avec. Ce n'est tout simplement pas possible avec les hachages parce que ceux-ci ne sont qu'un moyen. Une méthode de mot de passe symétrique doit être utilisée.

Exemple de cas d'utilisation:

• utilisateur se connecte au serveur
• utilisateur dit serveur pour télécharger le fichier depuis ses détails FTP stockées en toute sécurité sur le serveur
• Server recherche les détails FTP et supprime le cryptage (éventuellement avec le mot de passe de l'utilisateur) Cette question concerne la façon dont vous mettez en œuvre cette étape efficacement
• Le serveur fait ce qu'il a à faire puis supprime le mot de passe non crypté

Answer 1

Vous pouvez utiliser Mcrypt: http://php.net/manual/book.mcrypt.php

Answer 2

Il semble que ce que vous recherchez soit un hachage MD5.

http://en.wikipedia.org/wiki/MD5

Ils sont fréquemment utilisés lors de l'enregistrement des mots de passe dans une base de données, pour plus de sécurité, vous pouvez également regarder en salaison le mot de passe ainsi.

http://en.wikipedia.org/wiki/Salt_(cryptography)

Answer 3

Edit: Bien que les éléments suivants ne semble plus d'appliquer à la question (ce qui semble maintenant vouloir lancer une action FTP en raison d'un utilisateur (non connecté via un mécanisme d'authentification universel) , ce qui nécessite un schéma réversible), je le quitte car je pense qu'il contient des informations précieuses.

Je recommande de lire Enough With The Rainbow Tables: What You Need To Know About Secure Password Schemes. Il répondra probablement à un certain nombre de questions, y compris ce qu'est le sel (comment prévenir les attaques arc-en-ciel), pourquoi MD5 n'est pas une solution idéale pour un mot de passe (c'est trop rapide et ne nécessite plus de percée cryptographique significative). "), ce qui peut arriver si les données sont compromises (pourquoi le texte brut n'est pas stocké), etc. Il fournit des informations précieuses.

Je aime vraiment cette citation:

Non, vraiment. Utilisez le système de mot de passe de quelqu'un d'autre. Ne construis pas le tien.

Il est tellement vrai, même si la langue dans la joue.