[MySql] memorizzare password criptate in MD5

[Marvellous]

Buongiorno,

quale tipo di campo conviene utilizzare per memorizzare password criptata in MD5 ?

Grazie

[br1]

Testo

[Marvellous]

grazie br1,


stavo appunto leggendo sul sito di mysql la pagina in cui si parlava delle funzioni per crittografare. Trami il mio "inglese mediocre" mi pareva di aver capito che è consigliato utilizzare il tipo BLOB, ma in effetti mi sembra un po’ pesante come tipo di campo. Sei d'accordo?

Many encryption and compression functions return strings for which the result might contain arbitrary byte values. If you want to store these results, use a column with a VARBINARY or BLOB binary string data type. This will avoid potential problems with trailing space removal or character set conversion that would change data values, such as may occur if you use a nonbinary string data type (CHAR, VARCHAR, TEXT).

Mi consigli TEXT o VARCHAR (50) ?

[philbert]

Originariamente inviato da Marvellous
Mi consigli TEXT o VARCHAR (50) ?

MD5 genera una stringa di 32 caratteri, quindi VARCHAR(32) va benissimo.

In ogni caso, oggi giorno è sconsigliato usare MD5.
Usa piuttosto SHA-256.

SHA-256 genera una stringa di 64 caratteri, quindi userai VARCHAR(64)...

[Marvellous]

utilizzare la funzione AES_ENCRYPT(str,key_str) con chiave specificata solo nel codice sorgente dello script può essere un alternativa valida ?

Grazie

[Cesar]

Originariamente inviato da philbert
In ogni caso, oggi giorno è sconsigliato usare MD5.

Interessante. Qual è il motivo?

[philbert]

Originariamente inviato da Marvellous
utilizzare la funzione AES_ENCRYPT(str,key_str) con chiave specificata solo nel codice sorgente dello script può essere un alternativa valida ?

Grazie

E' valida nella misura in cui il tuo codice sorgente è al sicuro...
si usa l'hashing proprio per non lasciare in giro una chiave che se viene trovata permette di decrittare tutte le password...
se il server è tuo, ce l'hai in casa e ci metti le mani solo tu può essere un'alternativa... se hai un server in housing presso qualcuno o - peggio - se sei su un server condiviso allora non è un gran alternativa...

[philbert]

Originariamente inviato da Cesar
Interessante. Qual è il motivo?

Perché si basa su un algoritmo fallace che genera collisioni e oggigiorno questo è stato ampiamente dimostrato. In sostanza dato un hash MD5 non è impossibile risalire alla stringa che l'ha generato...
anzi ci sono sul web tool apposta...

http://tools.benramsey.com/md5/

metti questo md5:
81d900b08d09706a11019e7a0d2fa078
vedrai che il tool riesce a fare il reverse...

[Cesar]

Secondo me ti sbagli. prova con questo:
550ff744c59ce9575f52bcf4b9f4e833

[philbert]

Originariamente inviato da Cesar
Secondo me ti sbagli. prova con questo:
550ff744c59ce9575f52bcf4b9f4e833

sì ok, quei tools funzionano basandosi su dizionari, quindi una password sufficientemente complicata che non è nei dizionari non la trovano.....

rimane il fatto che md5 non andrebbe più usato per fare l'hash delle password, perché ci sono ben altri metodi per ottenerne il reverse