proteggere dati con password sicura

[chicco2991]

Salve, dovrei creare una pagina contenente dati sensibili e vorrei proteggerla con una password che non possa essere recuperata facilmente. Fino ad ora ho sempre creato le mie pagine inserendo un login che recupera la password in php in questo modo:

$records=array(  array('password'=>'passwordadmin'), );
 if(isset($_POST['action'])) { $check=false;
foreach($records as $v) { $pass= $v['password'];
if($pass==$_POST['password']) { $check=true;
}else { $check=false; 

il che non mi da la protezione desiderata, come potrei fare per avere un sistema più sicuro? grazie

[chicco2991]

up

[iraiscoming223]

Se hai paura che qualcuno possa trovare il file e LEGGERE la password puoi inserire direttamente l'hash (tipo md5) della stessa e fare l'hasing anche sulla variabile $_POST['password']. In questo modo chi apre il file trova solo una stringa di caratteri ma non sa quale sia la password originale.

Se hai il timore che il file possa essere SOSTITUITO sul tuo server, nemmeno questa mia ultima soluzione va bene, ma devi ricorrere a salvare - per esempio - la password nel database (magari in hashing anche li'), delegando al database il compito di custodirla in maniera sicura (assicurati che non ci siano accessi anonimi nemmeno in lettura).

Se hai invece necessita' di sicurezza ancora maggiore puoi iniziare a lavorare con i certificati.

Dipende molto da cosa devi proteggere.

[chicco2991]

inanzi tutto grazie per la risposta.

Si pensavo di creare un modulo per digitare la password che viene letta e confrontata a quella inserita nel database, pensavo di fare una cosa del genere:

$cerca_password = isset($_POST['cerca_password ']) ? trim($_POST['cerca_password ']) : '';
$cerca_password = ($cerca_password );

//connessione e invio al DB
$password= mysql_connect($host, $username, $dbpassword) or die("Connessione DB fallita");
mysql_select_db($database, $connessione) or die("Selezione DB fallita");

//visualizza tutti i record nel DB
$query = "SELECT * FROM $tabella WHERE password = '$cerca_password '";
$result = mysql_query($query, $connessione) or die('Errore...');

while($resrow = mysql_fetch_row($result)){
$password= $resrow[0];

if($cerca_password== $password){

//accesso a tutti i dati

}else{
echo"password errata"
} 

ora l'ho scritta al volo tanto per fare un esempio, potrei aver commesso qualche errore nel definire le variabili o cose del genere, ma la struttura che pensavo di utilizzare è grosso modo questa, secondo voi è sicura?

Originariamente inviato da iraiscoming223
Se hai paura che qualcuno possa trovare il file e LEGGERE la password puoi inserire direttamente l'hash (tipo md5) della stessa e fare l'hasing anche sulla variabile $_POST['password']. In questo modo chi apre il file trova solo una stringa di caratteri ma non sa quale sia la password originale.

Se hai il timore che il file possa essere SOSTITUITO sul tuo server, nemmeno questa mia ultima soluzione va bene, ma devi ricorrere a salvare - per esempio - la password nel database (magari in hashing anche li'), delegando al database il compito di custodirla in maniera sicura (assicurati che non ci siano accessi anonimi nemmeno in lettura).

come si fa? si potrebbe utilizzare questa funzione nella struttura che ho scritto sopra?

[las]

$cerca_password = isset($_POST['cerca_password ']) ? trim($_POST['cerca_password ']) : '';
$cerca_password = ($cerca_password );

//connessione e invio al DB
$password= mysql_connect($host, $username, $dbpassword) or die("Connessione DB fallita");
mysql_select_db($database, $connessione) or die("Selezione DB fallita");

//visualizza tutti i record nel DB
$query = "SELECT * FROM $tabella WHERE password = md5('$cerca_password ')";
$result = mysql_query($query, $connessione) or die('Errore...');

while($resrow = mysql_fetch_row($result)){
$password= $resrow[0];

if($cerca_password== $password){

//accesso a tutti i dati

}else{
echo"password errata"
} 

così utilizzi l'md5 nella struttura che hai fatto tu, ovviamente anche quando fai le query per registrare la password dovrai usare la funzione md5() per scrivere su DB l'hash e non la password in chiaro.



P.S. non capisco molto il senso di questo:
$cerca_password = ($cerca_password );
è come dire 1=1;