¿Qué debería saber todo desarrollador web sobre el cifrado?

Question

Acabo de obtener un concierto PHP5. No manejaré las partes de la aplicación que involucran datos súper confidenciales, pero todavía sé muy poco sobre los métodos de seguridad y encriptación. Solo conozco los conceptos básicos (no almacene contraseñas en texto plano, no permita que los usuarios ejecuten código usando datos de publicaciones, etc.). ¿Qué necesito saber para mantener seguras mis aplicaciones y dónde puedo aprenderlas?

Answer 1

Aprender la diferencia entre valores hash y cifrado. Los cifrados generalmente son interpretaciones bidireccionales de una cadena. Puedo encriptar mi contraseña y luego descifrarla en texto plano nuevamente. La idea detrás de hashes es que se conviertan en un 'cifrado' de una sola vía.

En mis sitios guardo las contraseñas como hash. Cada vez que un usuario inicia sesión, vuelvo a codificar la contraseña provista, la prueba contra el hash almacenado en la base de datos y apruebo si coinciden. No puedo enviarles su contraseña si la olvidan, ya que (en general) no tengo forma de saberlo. Dos cadenas diferentes pueden traducirse en el mismo hash, lo que hace que (generalmente) sea imposible saber cuál fue la cadena original.

Este es un problema que es bueno comprender bien y discernir cuándo usar cifrado frente a hash.

Answer 2

En primer lugar hay que familiarizarse con estos métodos PHP:

• MD5
• SHA1

Here usted tiene todas las extensiones de criptografía en PHP.

Answer 3

La respuesta corta

Nunca se puede estar demasiado seguro

Uso Salted Hashing de contraseñas para mayor seguridad

La respuesta más larga (todavía no está completo, sin embargo)

La seguridad no es algo que aprender con un tutorial rápido en la web. Requiere un conocimiento profundo no solo de las vulnerabilidades que existen, sino también de POR QUE existen y CÓMO funcionan. Uno de los mayores problemas (especialmente en código abierto) es que los nuevos métodos se agregan todo el tiempo, por lo tanto, debemos comprender conceptos de seguridad y teoría.

Lea libros, tome clases y pruebe las vulnerabilidades usted mismo en una máquina local. Luego, lentamente comienzan a comprender el concepto detrás de cómo proteger una aplicación web.

Pagar lo siguiente para que comenzar

1. Developer's Guide to Web Application Security
2. Web Security Testing Cookbook
3. Applied Cryptography

Answer 4

Dónde aprender sobre la seguridad: obtener el libro de Schneier Applied Cryptography.

Answer 5

Que se puede romper no importa lo que hagas.

Answer 6

Sepa que no escriba su propia funcionalidad de cifrado. Una biblioteca existente y confiable es la mejor manera de ir donde sea posible. Evite las tecnologías innovadoras que carecen de muchas horas exitosas de programador y horas de usuario detrás de ellas. Sepa que no confíe en la funcionalidad que elija hasta que la haya probado completamente, en primera persona. Manténgase al tanto de los nuevos desarrollos que pueden contrarrestar la funcionalidad elegida durante la noche. Sepa que solo porque está utilizando la mejor tecnología de cifrado disponible hoy en día que no ha protegido nada si deja las claves sobre la mesa (por ejemplo, texto sin formato no está en un caché o almacenado en otra tabla en la misma base de datos, claves privadas dejó a la intemperie)

Answer 7

• entender la diferencia entre encrypting y hashing
• entender la razón de salts
• Entender que HTTP es sin cifrar
• Comprender lo HTTPS es
• understa nd que nunca (casi nunca) podrá crear mejores métodos de codificación o hash que las librerías de terceros y las bibliotecas incorporadas.

Answer 8

Esa tecnología no es el eslabón más débil de la seguridad.

• Employees the weakest link in IT security
• Security's weakest link: People
• Passwords: The Weakest Link?
• Weakest Link Security
• The Weakest Link

Answer 9

Por favor, preste atención a los siguientes puntos cuando vaya a guardar las contraseñas,

1. La contraseña hash es generalmente más segura porque no tiene que guardar un secreto. Sin embargo, le impide utilizar otro esquema basado en hash en su flujo de autenticación. Por ejemplo, no puede usar la autenticación HTTP Digest con contraseña hash.

2. El hash simple es propenso a atacar la tabla del arco iris (http://en.wikipedia.org/wiki/Rainbow_table). Agregue un nonce no recurrente al hash o use el nonce como clave para HMAC. El nonce necesita ser almacenado con las contraseñas. Lo antepongo al resumen.

3. Si se utiliza el cifrado, asegúrese de utilizar un Vector inicial aleatorio, de modo que la misma contraseña se codificará en diferentes textos cifrados para diferentes usuarios. De lo contrario, eres propenso al ataque de coincidencia de patrones. MySQL tiene un comando de encriptación incorporado. No inyecta IV así que nunca lo use para contraseñas.

4. Guarde el nombre/la versión de la clave con el texto cifrado para poder girar las teclas. Se requiere rotación de teclas para cumplir con ciertos estándares. El cifrado sin información clave es imposible de descifrar cuando se ve obligado a cambiar o rotar las teclas.

Si sigues estos consejos, tus contraseñas estarán seguras con cualquier esquema de encriptación/hash.

Answer 10

Echa un vistazo a Open Web Application Security Project. Tienen mucha información sobre los problemas actuales de seguridad de la aplicación web y sobre lo que debe hacer para defenderse de ellos. OWASP está armando un Development Guide que proporciona mucha información buena sobre aplicaciones web y problemas de desarrollo de servicios web.

Answer 11

Si usted está mirando desde un contexto PHP, me gustaría recomendar este libro:

alt text http://ecx.images-amazon.com/images/I/51sKhc8YUlL._BO2,204,203,200_PIsitb-sticker-arrow-click,TopRight,35,-76_AA240_SH20_OU01_.jpg

Pro PHP Security on Amazon

Lo que me gusta de este libro es que abarca mucho más que solo una lista de las funciones relacionadas con la seguridad en PHP. Una gran parte de este cubre conceptos generales de seguridad web y mecanismos de protección. Permisos, principio de privilegio mínimo, cifrado, hash, scripts entre sitios, falsificaciones de solicitudes entre sitios, secuestro de sesión, etc. están todos cubiertos aquí, con ejemplos de escritura de código seguro en PHP.

Después de haber tomado clases de seguridad de posgrado en la universidad, estoy impresionado con la cobertura de este libro. Considero que es una lectura obligatoria para cualquier desarrollador profesional de PHP.