Mit éri meg tanulni, ha backend webfejlesztő szeretnék lenni?
Én jelenleg amit csinálgatok hobbi szinten, az egy "blogmotor", ahol tudsz regisztrálni, bejelentkezni, posztolni, kommentelni, kedvelni posztokat, a saját profilod adatait megváltoztatni, mások profilját megtekinteni, a jelszavak titkosítva (md5), minden inputon van legalább egy html pattern vagy egy preg_match, és habár stmt-t nem használok, ezek elégnek bizonyulnak a védelmet nézve.
Include-olok alapból pár dolgot, például a mysqli_connect-et, a navbar-t, meg a footert.
Mi van még, amit érdemes lenne használni, átnézni?
válasza:
válasza: válasza:Biztonsági szempontból annyit mondanék, hogy önmagába ne legyen elég az, hogy HASH-ed a jelszavakat vagy egyéb adatokat. Mert, ha megszerzik a HASH-t, az visszafejthető már nagyon könnyen. Ha hashelsz egy jelszót legyen az sha256 vagy bármi más, akkor rakj bele random értékeket a végére, elejére, közepére. Tehát mondjuk van egy jelszó hogy: Hj3$5atg - ezt tárolod hash-ként az adatbázisba. No, de ha megszerzik? Visszafejtik?
Gondolkozz el azon, hogy, ha valaki megad egy jelszót, akkor még a hash előtt random karaktereket raksz bele és utána hash-eled el. Tehát én ezt a jelszót adom meg Hj3$5atg -> random karakterek bele: H[2][a]j3$[G][b]5atg[!] - És ezt hasheled és lemented ([] csak szemléltetésként raktam bele, hogy tudd hol változott). Amikor valaki megadja a jelszót, akkor ha a saját jelszavát adná meg, akkor, ha azt HASH-eled akkor nem fog ugyebár egyezni, mert random karaktereket raktál bele. Ezeket a karaktereket, ugyanúgy bele kellr aknod, hogy egyezzen a HASH, mert ugyebár nem fog tudni belépni akkor. :D
Na de így biztonságosabb lesz, mert hiába szerzik meg a HASH-t és fejtik vissza nagyon könnyen, nem tudnak vele mit kezdeni, mert nem az a jelszó... Ők nekik meg arról fogalmuk sem lesz, hogy te mit változtattál.
Sok cég csak szimplán a jelszó mögé pakol még pár karaktert és ezzel már változott az egész... ez is elég, hogy biztonságosabb legyen.
Ilyeneken gondolkozhatsz, szép feladat a megoldása. :)
-------------
Továbbá:
XSS, SQL Injection ...stb védekezések.
--------------------
Ezen kívül tanulj keményen SQL-t! Az bármit is fogsz fejleszteni elő fog jönni. MySQL, Oracle
És ne csak alap lekérdezéseket csinálsz, tanul triggert írni, rekurziót...stb! Munakahelyen előjönnek.
---------------------
Utolsó, meg is tudod tenni, hogy visszafejted az MD5-ös hash-eket?
Ha igen, ez mit takar?
a0dd053fc0ea22d0fb107cfc9d9da17f
Ezen felül köszi mindenkinek az eddigi válaszokat!
Szerverekkel jelenleg is iskola, hobbi szinten foglalkozom, főképp debian szerverrel, win szerver nekem.. Mondjuk úgy, hogy "drága", mert ugyebár legálisan dolgozunk ;) :D
Azt a két dolgot nem értem, hogy:
1. A C# itt hogyan hasznosítható?
2. Hogyha mögé teszek plussz karaktereket a jelszónak és úgy tárolom, akkor azt bejelentkezéskor el kellene tárolni, hogy mit és hova tettem, ha nem tévedek, egyébiránt nem fogja tudni párosítani a saját hash-ét. Hogyha viszont én csinálok mondjuk egy olyat, hogy amikor beírja a jelszavát, tovább megy a login.inc.php-ra, és ott hozzá adom a végére az egyébként fix plussz karaktereket, akkor a kód tartalmazni fogja azt, hogy mit és hova adok hozzá.
Hogyha viszont én így hozzá is adok plusz értékeket, mondjuk:
Jelszó: Jelszo2020
Pluszozva: Jelszo2020NOW
Hash-elve: [VALAMI]
Akkor, ha megszerzik a jelszót, és mondjuk sikerül nekik visszafejtnei, akkor megpróbálják hogy működik-e. Ha nem, akkor (én, józan paraszti ésszel) elkezdeném lenyesni bizonyos részeit. Pl először a Jelszo-t, aztán a 2020-at, aztán a NOW-ot, vagy fordítva. Vagy ha valakinek az a jelszava, hogy " Paprikás Krumpli Gyümisalival", és hozzá csapja azt a kód, hogy "Sanyika", akkor (ha vissza is tudnák fejteni, mert nem valószínű hogy tudják) az lenne a jelszava, hogy "Paprikás Krumpli GyümisalivalSanyika", ami azért elég szemetszúró, hogy mi a plussz. Valamint, ha már hozzáférnek az adatbázishoz, és onnan szedik ki a hasheket, és mondjuk kettőt már feloldanak, akkor egyértelműen látható, hogy mi a plussz tag.
Szóval nekem ez kissé ködös még.
Kapcsolódó kérdések:
Minden jog fenntartva © 2024, www.gyakorikerdesek.hu
GYIK | Szabályzat | Jogi nyilatkozat | Adatvédelem | Cookie beállítások | WebMinute Kft. | Facebook | Kapcsolat: info(kukac)gyakorikerdesek.hu
Ha kifogással szeretne élni valamely tartalommal kapcsolatban, kérjük jelezze e-mailes elérhetőségünkön!