Безопасно ли будет хранить пароль в БД?

ну как бэ практика показывает что пароли все хранят именно в бд, ибо не в файлах же, основные головные боли каким способом его md5+''соль" ну или другие варианты

так понятно, но обязательно ли нужно его шифровать?

Пароли можно хранить и в файлах на сайте... до того времени, как кто-то случайно эти файлы прочитает.
Если вы уверены, что у вас доступ к базе данных безопасен, как бомбоубещище с 30-метровыми стальными стенами, можете и в открытом виде хранить =)

А вообще, если к базе имеете доступ только вы и все надежно сделано, то особого резона шифровать нет. Шифрование делают, когда к базе могут получить доступ несколько человек (администраторы, тех. поддержка), для того, чтобы никто не воспользовался паролями в свою выгоду или во зло.

Тем не менее, с зашифрованными паролями злоумышленник не сможет тайно украсть аккаунты, даже если сможет как-то вытянуть оттуда пароли.

Это сообщение отредактировал(а) Arantir - 21.11.2012, 22:02

конечно же нет ))))))
именно Вам, да-да Вы не ослышались именно ВАМ, я категорически и настойчиво не рекомендую шифровать пароль, их нужно оставлять в прямом и читаемом виде в базе данных, только так... только хардкор...
Действительно, напридумывали всякие псевдоумники всякого шифрования паролей.. умники хреновы

dstorm81, смеётесь? да?   я всё прекрасно понимаю что лучше шифровать. но тут стоит вопрос как бы иначе. можно ли какими ни будь кулцхакерскими манипуляциями выдернуть пароль который хранится в базе данных через уже выполненный сценарий например get запросом или чё нить там еще?

Добавлено через 38 секунд
естественно не имея пароля к базе данных

Гуглить SQL-injection

спасибо! при написании сценариев буду стараться исключать эти уязвимости

Antony41, втихаря взломать сайт можно только через дырки, оставленные самими программистами.

По-моему, шифровать нужно всегда.

http://www.php.net/manual/en/faq.passwords.php

Это сообщение отредактировал(а) Aliance - 22.11.2012, 12:56

И лучше всего с помощью функции crypt. 

Это сообщение отредактировал(а) DeLuxis - 22.11.2012, 12:43

Aliance, двумя абзацами ниже я именно это и писал =)

Кстати, браузер пароль при отправке все равно никак не шифрует (в смысле, без https), так что шифрование от прослушивания не поможет.

ну так всё таки если я хочу разместить сайт на платном хостинге то обязательно ли мне его шифровать? проверку на пароль делаю так


Добавлено @ 19:14
вобще подойдет ли такой способ авторизации?

Это сообщение отредактировал(а) Antony41 - 23.11.2012, 19:16

А платный хостинг его вместо тебя зашифрует, что ли? Платный хостинг - это всего лишь меньше лагов и больше ресурсов. Остальное на твоей совести.

Сайты ломают именно из-за ситуации, которая обсуждается в этой теме. Из-за того, что кому-то впадлу уделить каких-то 5 минут на дописывание шифрования всего в двух местах (регистрация и авторизация), потом это кончается проблемами, которые надо решать много часов... или вообще крахом.
Ломают не только ради выгоды, но и ради развлечения. Даже самые непримечательные проекты, в особенности непримечательные, у них часто много косяков, стают жертвами простых шалостей.

У меня в логах за месяц десятки мегабайт - это попытки ввести во все имеющиеся входящие данные (get/post/cookie/header) какую-то левую фигню.

всем спасибо! Вы меня направили на принятие нужного решения