Safe autorization

[0nline]

Читал множество статей на тему безопасности при авторизации. Читал на хабре, на пхп.су, на софттайме. Везде написано по разному. Используют куки и сессии, множество примочек для сохранения безопасности.

Решил задать вопрос:

Так какую авторизацию можно назвать безопасной, если на сайте будет не более десяти пользователей администраторов, а остальные гости?

[Veseloff]

Никакую. Полностью безопасных систем не бывает.

[0nline]

Понятно.

Тогда опишите и желательно покажите пример наиболее безопасных систем. Стоит ли использовать двойное шифрование мд5? Надо ли хранить пароли в сессии?

[Veseloff]

Стоит ли использовать двойное шифрование мд5?

Нет, не стоит. Я использую или sha512 или солёный sha512.

Надо ли хранить пароли в сессии?

Я не вижу никаких для этого причин. Пароль запрашивается только при авторизации и больше не нужен.

Вообще если возникают какие-то вопросы, то попробуйте ответить для себя на вопрос: «А зачем?» — и многие проблемы испарятся сами собой.

[0nline]

md5(sha1(pass).salt) - safely?

[Veseloff]

md5(sha1(pass).salt) - safely?

А зачем?

[0nline]

Вроде бы пароль сложнее расшифровывается в таком случае, если стырят его хеш...

И в базе данных тогда тоже лучше хеш пароля, а не сам пароль хранить...

Верно?

[Veseloff]

У md5, как и у sha1 нет обратных функций, так что для расшифорвки они оба непригодны. Есть таблицы соответствий md5 — строка, но, если строку подсаливать, то на это, в принципе не особо полезно, если длина и качество соли хоршие. Так что в двойном хэшировании нет никакого смысла.