сабж
как и ге лучше хранить пару логи-пароль, юзеров, воспользовавшихся услугами серсива, на сервере

жду ВСЕ идеи, начиная от общепринятого стандарта и заканчивая личными идеями и наработками

Все зависит от того, что там у тебя за сервер и какой сервис он предоставляет. Если дело ограничивается простым сайтом, на котором регаются пользователи, то тут, имхо, лучше использовать MySQL базу, там хранить имена юзеров и md5-хеши от их паролей. (Не вздумай хранить имена вместе с незашифрованными паролями или с паролями с шифровкой DES - взламываются за секунды. На MD5 взломщику придется потратить часа 4 ). Можно это и к файлам приспособить, только код в РНР будет пообъемнее. Если надо хранить пароли на доступ к защищенной зоне, тебя спасут встроенные средства apache. Если имеешь веб-фейс для почтовика, опять-таки стоит поюзать мускул. Ну и так далее, смотря что ты хочешь от сервера и каким способом этого добиваешься.

users.dat

Цитата

user|123 user2|125 user3|1234

папка users, а в ней:

Цитата

user, в нем 123 user2 - 125 user3 - 1234

MySQL (login, md5(passwd))

Axxent, а md5 вообще взламывается???

Гость_Bik, насколько мне известно только брут-форсом...

а если его ещё задом наперед перевернуть, то тут уже никак

Да, а еще можно пароль умножать (читай умножать, делить, прибавлять, отнимать, логарифмировать и т.д.) например на Пи (3,14...., но тут надо быть осторожным, так как дробь бесконечна, то можно не вернуться к первому результату , поэтому нужно использовать только "урезанный" вариант), использовать любые мат.функции. Как произвести обратное преобразование - думаю понять легко (использовать противоположную операцию).

Да, md5 взламывается, но это долго и муторно, потому что надо искать большие словари и обзавестить соответствующим софтом. Брутфорс, как уже сказано. Но, опять же, уже сказано, можно подвергнуть хеш любым извращениям (включая "супер"-вариант md5(crypt(md5($password))) ) и в итоге получить совершенно безопасную систему.

вопрос может но совсем в тему. на большинстве сайтов сущетсвует функция восстановление забытого пароля если хранят в базе его md5-хэш то как его высылают на мыло юзеру в нормальном виде, и если использовтаь ее на своих сайтах совместно с md5 как ето программно реализовать?

lelik133, а кто тебе сказал что они высылают старый пароль? Хотя конечно можно сделать отдельную таблицу на такой случай, но это не есть гут! Самый разумный способ это просто сгенерить новый пароль и отправить его юзеру.

Абсолютно справедливо. Последнее время все системы высылают только новые пароли. Почему, думаю ясно.

Axxent

Цитата

На MD5 взломщику придется потратить часа 4

Можно поподробней? Откуда такие цифры?

от верблюда... на md5 взломщику придется потратить nное колл-во миллионов лет, тем более если в авторизацию добавить блокировку авторизации пользователя или просто ip адреса, который 3 раза не верно ввел пароль на 15 минут.

Да вы чего, ребята? Скачал все md5-хеши и натравил на них md5inside, при удачном раскладе (т.е. если пароль не сложный) и при хорошем словаре - результат будет максимум дня через 2-3. Согласитесь, не все люди такие мазохисты, чтобы помнить пароли типа eGhj5GF6e