Тема: crypt() (WAP/WEB мастеру/PHP/MYSQL: Уроки)

Zed (15 Oct 2018 в 20:36)
от версии php это никак не зависит я хз

Скиталец (15 Oct 2018 в 21:44)
--Цитата--
Zed (15 Oct 2018 в 20:36):
от версии php это никак не зависит я хз
----------
Zed, я знаю что не зависит от версии php,  зато от константы хэша зависит на уровне сервера заданна другая константа и соль хэш пасс тупо не поддерживается поэтому по старым паролям не войти,  а новые делать долго и не совсем прикольно.  Как то можно самому задать нужный ключ или нет?  Существуют такие методы?  Я весь гугл перелопатил ничего на этот счет нет,  сп хостинга задавать директиву отказываются типа нагрузка лишняя из за одного сайта ничего добавлять не будут.  А этот идиот на другой хост идти нежелает оплатил на 6 мес...

Zed (16 Oct 2018 в 08:14)
--Цитата--
Скиталец (15 Oct 2018 в 21:44):
Zed, я знаю что не зависит от версии php,  зато от константы хэша зависит на уровне сервера заданна другая константа и соль хэш пасс тупо не поддерживается поэтому по старым паролям не войти,  а новые делать долго и не совсем прикольно.  Как то можно самому задать нужный ключ или нет?  Существуют такие методы?  Я весь гугл перелопатил ничего на этот счет нет,  сп хостинга задавать директиву отказываются типа нагрузка лишняя из за одного сайта ничего добавлять не будут.  А этот идиот на другой хост идти нежелает оплатил на 6 мес...
----------
Скиталец, ну тогда ток всем пароли поменять осталось и выслать уведомдение на почту с новым паролем может так прокатит

Engine (16 Oct 2018 в 10:02)
То есть значение константы зависит от сервера, а дурак в итоге клиент. Найс

Скиталец (16 Oct 2018 в 10:10)
Engine,
		[i]Добавлено:[/i]
		Да именно об этом я и говорю crypt()  без соли пассив всегда меняет алгоритм шифрования,  а поддержка соли задается с сервера.  Вот я и прошу подсказать как задать ключ в обход сервера чтобы алгоритм был одинаковый там аков дохрена всех менять умрёшь,  это я не говорю про смену шифрования и оповещение юзверей
		[i]Добавлено:[/i]
		Zed, не все же мыло вязали.  Вариант не подходит.  Осталось 2 недели примерно.  Надо решать проблему.  Или хэшировать по старинке md5()  ну а кто не успел тот по новой регнется.

Engine (16 Oct 2018 в 11:05)
Получаешь случайную строку. Например
md5(tme());
 
И жестко записываешь ее в константу
define(\'SOLT\', \'строка\');
crypt(\'pass\', SOLT);

Скиталец (16 Oct 2018 в 11:07)
Сука админ хостинга нойз :[ небыло печали!  Я думал он бросил после взлома ан нет.
		[i]Добавлено:[/i]
		Engine, спасибо сейчас попробую.  Идея смены такая в авторизации добавить запрос на смену пароля с ключём в итоге те кто за эти 2 недели зайдут на сайт сменят пароли даже не заметив изменений а остальных придется менять полюбэ

Engine (16 Oct 2018 в 11:21)
У юзеров должны остаться куки по которым они автоматически авторизуются. Авторизовнному юзеру выводить сообщение о необходимости смены пароля. Не авторизованным на странице авторизации сообщение о необходимости восстановить пароль

biket (16 Oct 2018 в 11:21)
Здесь на сайте была похожая проблема. Было сделано, как пишет Engine. Так же с тех пор висит сообщение о необходимости ввести email, чтобы не потерять аккаунт.

Скиталец (16 Oct 2018 в 14:28)
biket, Всё.  Сделал хэширование в двухэтажнуюю md() примерно 12% юзверей уже используют  столбец password вместо pass это за один день.  Думаю большенство так и перескочат.  Размещено объявление об обязательной смене пароля и привязке аков.  Думаю всё будет норм. 
З. Ы.  Идея с ключем провалилась.  Хэши всё равно разные выходят.  Функция работает но алгаритм её работы плавающий с константой или без.

Скиталец (16 Oct 2018 в 15:48)
Заскринил тесты.

Источник: http://www.dcms-social.ru/forum/20/24/62567/