Come proteggere le password del database in PHP?

Quando un'applicazione PHP effettua una connessione al database, ovviamente deve generalmente passare un login e una password. Se sto usando un unico login con autorizzazione minima per la mia applicazione, il PHP deve sapere che login e password da qualche parte. Qual è il modo migliore per proteggere quella password? Sembra che scriverlo nel codice PHP non sia una buona idea.

Diverse persone hanno letto male questo come una domanda su come archiviare le password in un database. Questo è sbagliato. Si tratta di come memorizzare la password che consente di accedere al database.

La solita soluzione è spostare la password dal codice sorgente in un file di configurazione. Quindi lasciare l'amministrazione e la protezione del file di configurazione agli amministratori di sistema. In questo modo gli sviluppatori non hanno bisogno di sapere nulla sulle password di produzione e non c'è traccia della password nel controllo del codice sorgente.

Se stai ospitando sul server di qualcun altro e non hai accesso al di fuori della tua webroot, puoi sempre mettere la tua password e / o connessione al database in un file e quindi bloccare il file usando un .htaccess:

<files mypasswdfile>
order allow,deny
deny from all
</files>

Il modo più sicuro è non avere affatto le informazioni specificate nel tuo codice PHP.

Se stai usando Apache questo significa impostare i dettagli della connessione nel tuo file httpd.conf o file host virtuale. Se lo fai puoi chiamare mysql_connect () senza parametri, il che significa che PHP non produrrà mai le tue informazioni.

Ecco come si specificano questi valori in quei file:

php_value mysql.default.user      myusername
php_value mysql.default.password  mypassword
php_value mysql.default.host      server

Quindi apri la tua connessione mysql in questo modo:

<?php
$db = mysqli_connect();

O così:

<?php
$db = mysqli_connect(ini_get("mysql.default.user"),
                     ini_get("mysql.default.password"),
                     ini_get("mysql.default.host"));

Memorizzarli in un file esterno alla radice Web.

Per sistemi estremamente sicuri crittografiamo la password del database in un file di configurazione (che è protetto dall'amministratore di sistema). All'avvio dell'applicazione / server l'applicazione richiede all'amministratore di sistema la chiave di decodifica. La password del database viene quindi letta dal file di configurazione, decrittografata e archiviata in memoria per uso futuro. Non è ancora sicuro al 100% poiché è memorizzato nella memoria decrittografata, ma a un certo punto devi chiamarlo 'abbastanza sicuro'!

Questa soluzione è generale, in quanto è utile per applicazioni sia open che closed source.

1. Crea un utente del sistema operativo per la tua applicazione. Vedi http://en.wikipedia.org/wiki/Principle_of_least_privilege
2. Creare una variabile di ambiente del sistema operativo (non di sessione) per quell'utente, con la password
3. Esegui l'applicazione come quell'utente

vantaggi:

1. Non controllerai le tue password nel controllo del codice per sbaglio, perché non puoi
2. Non rovinerai accidentalmente le autorizzazioni dei file. Bene, potresti, ma non influenzerà questo.
3. Può essere letto solo dal root o da quell'utente. Root può comunque leggere tutti i file e le chiavi di crittografia.
4. Se usi la crittografia, come stai conservando la chiave in modo sicuro?
5. Funziona x-platform
6. Assicurarsi di non passare envvar a processi figlio non attendibili

Questo metodo è suggerito da Heroku, che ha molto successo.

se è possibile creare la connessione al database nello stesso file in cui sono archiviate le credenziali. Inline le credenziali nell'istruzione connect.

mysql_connect("localhost", "me", "mypass");

Altrimenti è meglio disinserire le credenziali dopo l'istruzione connect, poiché le credenziali che non sono in memoria, non possono essere lette dalla memoria ;)

include("/outside-webroot/db_settings.php");  
mysql_connect("localhost", $db_user, $db_pass);  
unset ($db_user, $db_pass);  

Le tue scelte sono un po 'limitate poiché come dici hai bisogno della password per accedere al database. Un approccio generale è quello di memorizzare il nome utente e la password in un file di configurazione separato anziché nello script principale. Quindi assicurati di memorizzarlo all'esterno dell'albero web principale. Questo era se c'è un problema di configurazione web che lascia i tuoi file php semplicemente visualizzati come testo anziché essere eseguiti non hai esposto la password.

Diverso da quello che sei sulle linee giuste con un accesso minimo per l'account in uso. Aggiungi a quello

• Non utilizzare la combinazione di nome utente / password per nient'altro
• Configurare il server database per accettare connessioni dall'host Web solo per quell'utente (localhost è ancora migliore se il DB si trova sullo stesso computer) In questo modo, anche se le credenziali sono esposte, non sono utili a nessuno a meno che non abbiano altro accesso al macchina.
• Offusca la password (anche ROT13 lo farà) non creerà molta difesa se alcuni accedono al file, ma almeno impedirà la visualizzazione casuale di esso.

Peter

Se stai usando PostgreSQL, cerca ~/.pgpassautomaticamente le password. Vedere il manuale per ulteriori informazioni.

In precedenza abbiamo archiviato l'utente / passaggio DB in un file di configurazione, ma da allora abbiamo raggiunto la modalità paranoica, adottando una politica di difesa in profondità .

Se l'applicazione è compromessa, l'utente avrà accesso in lettura al file di configurazione e quindi è possibile che un cracker legga queste informazioni. I file di configurazione possono anche essere bloccati nel controllo versione o copiati nei server.

Siamo passati alla memorizzazione di user / pass nelle variabili di ambiente impostate in Apache VirtualHost. Questa configurazione è leggibile solo da root - si spera che l'utente Apache non stia eseguendo come root.

Il problema è che ora la password è in una variabile PHP globale.

Per mitigare questo rischio abbiamo le seguenti precauzioni:

• La password è criptata Estendiamo la classe PDO per includere la logica per decrittografare la password. Se qualcuno legge il codice in cui stabiliamo una connessione, non sarà ovvio che la connessione viene stabilita con una password crittografata e non con la password stessa.
• La password crittografata viene spostata dalle variabili globali in una variabile privata L'applicazione lo fa immediatamente per ridurre la finestra in cui il valore è disponibile nello spazio globale.
• phpinfo()è disabilitato. PHPInfo è un obiettivo semplice per ottenere una panoramica di tutto, comprese le variabili di ambiente.

Inserire la password del database in un file, renderlo di sola lettura per l'utente che serve i file.

A meno che tu non abbia qualche modo per consentire al processo del server php di accedere al database, questo è praticamente tutto ciò che puoi fare.

Se stai parlando della password del database, al contrario della password proveniente da un browser, la pratica standard sembra essere quella di mettere la password del database in un file di configurazione PHP sul server.

Devi solo assicurarti che il file php contenente la password abbia le autorizzazioni appropriate su di esso. Cioè dovrebbe essere leggibile solo dal server web e dal tuo account utente.

Metterlo in un file di configurazione da qualche parte è il modo in cui viene fatto di solito. Assicurati solo di:

1. impedire l'accesso al database da qualsiasi server esterno alla rete,
2. fare attenzione a non mostrare accidentalmente la password agli utenti (in un messaggio di errore o tramite file PHP accidentalmente serviti come HTML, eccetera).

Lo abbiamo risolto in questo modo:

1. Utilizzare memcache sul server, con connessione aperta da un altro server password.
2. Salva in memcache la password (o anche tutto il file password.php crittografato) più la chiave di decrittografia.
3. Il sito web chiama la chiave memcache che contiene la passphrase del file password e decodifica in memoria tutte le password.
4. Il server delle password invia un nuovo file di password crittografato ogni 5 minuti.
5. Se si utilizza password.php crittografato sul progetto, si effettua un controllo, che controlla se questo file è stato toccato esternamente o visualizzato. In questo caso, è possibile pulire automaticamente la memoria e chiudere il server per l'accesso.

Un ulteriore trucco è utilizzare un file di configurazione separato PHP che assomigli a quello:

<?php exit() ?>

[...]

Plain text data including password

Ciò non impedisce di impostare correttamente le regole di accesso. Ma nel caso in cui il tuo sito web venga hackerato, un "richiede" o un "include" uscirà dallo script in prima linea, quindi è ancora più difficile ottenere i dati.

Tuttavia, non lasciare mai i file di configurazione in una directory a cui è possibile accedere tramite il Web. Dovresti avere una cartella "Web" contenente il tuo codice controler, css, immagini e js. È tutto. Tutto il resto va in cartelle offline.

Il modo migliore è di non memorizzare affatto la password!
Ad esempio, se si utilizza un sistema Windows e ci si connette a SQL Server, è possibile utilizzare l'autenticazione integrata per connettersi al database senza password, utilizzando l'identità del processo corrente.

Se è necessario connettersi con una password, crittografarla innanzitutto , utilizzando una crittografia avanzata (ad esempio utilizzando AES-256, quindi proteggere la chiave di crittografia o utilizzare la crittografia asimmetrica e fare in modo che il sistema operativo protegga il certificato), quindi memorizzarlo in un file di configurazione (esterno alla directory Web) con ACL forti .