Безопасность в PHP???

crc32

eugene.lagoda@gmail.com eugene.lagoda

Евгений magog Лагода

Web-разработчик с 2006 года PHP, MySQL, JavaScript, Unix

eugene.lagoda@gmail.com eugene.lagoda

О чём будем говорить

Проблемы безопасности Средства PHP для обеспечения

безопасности Советы и рекомендации

eugene.lagoda@gmail.com eugene.lagoda

Случай с LinkedIN

Что украли? Кому и зачем это надо? Так что же делать???

eugene.lagoda@gmail.com eugene.lagoda

Угрозы безопасности

Что нам угрожает?

Потеря данных, потеря доверия

Кто нам угрожает?

Конкуренты, энтузиасты, мы сами!

Зачем нам угрожают?

Выгода, исследования

eugene.lagoda@gmail.com eugene.lagoda

Реализации в PHP

crc32 MD5 SHA1 hash - fnv132, fnv164, joaat (5.4) crypt - Blowfish crypt(‘password', '$2a$07$salt$')

eugene.lagoda@gmail.com eugene.lagoda

Уникальный хеш?

Источник проблем – вычислительная мощность!

Проблема с MD5 Проблема с SHA1

eugene.lagoda@gmail.com eugene.lagoda

Возможные решения

Конфигурация серверного ПО Настройка доступа в файловой системе Что можно сделать с PHP? Фильтрация данных НИКОМУ НЕ ДОВЕРЯТЬ!

eugene.lagoda@gmail.com eugene.lagoda

Планирование и тесты

Оценка рисков TDD Граничные значения и «чего не бывает» Защита «от дурака» Stress Tests

eugene.lagoda@gmail.com eugene.lagoda

Выводы

Оценивать риски и затраты на защиту информации

Чем быстрее алгоритм хеша – тем хуже! Использовать хеши с солью Тестировать систему на предмет

безопасности

eugene.lagoda@gmail.com eugene.lagoda

Вопросы?

Спасибо за внимание!

eugene.lagoda@gmail.com eugene.lagoda