NOVINKA: Získej 40 hodin praktických dovedností s AI – ZDARMA ke každému akreditovanému kurzu!
Hledáme nové posily do ITnetwork týmu. Podívej se na volné pozice a přidej se do nejagilnější firmy na trhu - Více informací.

Diskuze: Zabezpecenie velmi citlivych dat

V předchozím kvízu, Online test znalostí PHP, jsme si ověřili nabyté zkušenosti z kurzu.

Jak se ti líbí článek?
Před uložením hodnocení, popiš prosím autorovi, co je špatněZnaků 0 z 50-500
Jak se ti kurz líbí?
Tvé hodnocení kurzuZnaků 0 z 50-500
Aktivity
Avatar
Filip
Člen
Avatar
Filip:29.8.2019 13:37

Zaujimalo by ma, ako sa obecne riesi zabezpecenie, resp. ulozenie velmi citlivych dat. Nejde mi o hesla, tam mi je to jasne, ale napr. o privatne kluce ku krypto penazenkam, ktore by nemal nikto nikdy ukradnut :-D

Otazka: ako bezpecne ukladat a pracovat s povedzme 100 klucmi. Data o objeme max 10 KB.... Samozrejme z pohladu web servera a PHP aplikacii. Urcite na to budu nejake "specialne" postupy, ak by sa niekto v tom orientoval, budem rad za nejake informacie.

Diky.

Chci docílit: Co najvyssej bezpecnosti

 
Odpovědět
29.8.2019 13:37
Avatar
Peter Mlich
Člen
Avatar
Peter Mlich:29.8.2019 15:08

Vsechno zabezpeceni je marne. Muzes udelat jen kompromis a doufat.
Treba takova hesla na flashce, staci ji preci zkopirovata muzes si za par kacek propujcit vykon superpocitace a nechat si to heslo najit umelou inteligenci a nebo brutal-force. Dotcena osoba se nikdy nedozvi, ze znas vsech 100 hesel, ktere mela ulozene v nejakem kryptoprogramu.

 
Nahoru Odpovědět
-1
29.8.2019 15:08
Avatar
Martin Dráb
Tvůrce
Avatar
Odpovídá na Filip
Martin Dráb:29.8.2019 23:36

Ideální je s privátními klíči přímo nepracovat, ale zpřístupnit je prostřednictvím služeb (neviditelných pro okolní svět), které dovolují s klíčem provádět příslušné operace (dešifrování, podepisování...), ale nezpřístupňují ten klíč samotný.

Ale ne vždy se toto dá aplikovat (i třeba kvůli ceně). Vůbec třeba myšlenka, že ve webové aplikaci má každý uživatel svůj privátní klíč uložený na serveru, je taková zvláštní (chápu, že to třeba z praktických důvodů moc jinak nejde), protože popírá tu privátnost (klíč je přístupný jak uživateli, tak třeba webhostingu či provozovateli té aplikace).

Samozřejmě lze pak provádět věci jako nechávat data v šifrované podobě a dešifrovat je jen v paměti po nutnou dobu (ideálně klíčem odvozeným od informace, kterou zná jen uživatel; dalo by se třeba použít i heslo). Hodně záleží, o jakou aplikaci ti jde.

Nahoru Odpovědět
29.8.2019 23:36
2 + 2 = 5 for extremely large values of 2
Avatar
Filip
Člen
Avatar
Odpovídá na Martin Dráb
Filip:30.8.2019 12:37

Konkretne by som chcel ukladat API kluce, uzivatel si zada do formu svoj API kluc ktory sa odosle a ulozi na serveru, neskor si moze ten kluc editovat / vymazat. Takze tie kluce musia byt niekde ulozene v "desifrovatelnej" forme.
Este by ma zaujimalo, ci je bezpecne ukladat iba na jeden server, alebo rozdelit na viacej serverov. Rozum hovori, ze na viacerych serveroch je to bezpecnejsie ale zase ta technicka stranka veci....

 
Nahoru Odpovědět
30.8.2019 12:37
Avatar
Martin Dráb
Tvůrce
Avatar
Odpovídá na Filip
Martin Dráb:30.8.2019 21:20

Aha, takže se nejedná vyloženě o soukromé klíče (v kryptografickém smyslu).

Konkretne by som chcel ukladat API kluce, uzivatel si zada do formu svoj API kluc ktory sa odosle a ulozi na serveru, neskor si moze ten kluc editovat / vymazat. Takze tie kluce musia byt niekde ulozene v "desifrovatelnej" forme.

No, pořád ten klíč můžeš ukládat v databázi v šifrované podobě a k dešifrování využít např. heslo, které uživatel zadává při přihlášení (nebo ideálně klíč k dešifrování mít uložený v šifrované podobě (pro jeho dešifrování právě použiješ heslo... tenhle trik ti dovolí měnit hesla uživatelů aniž bys toho musel moc přešifrovat)).

To je takový ten PHP pohled. Pomocí JS by vše šlo zřejmě i hodně zlepšit tím, že se klíče API klíče budou v šifrované podobě odesílat rovnou do prohlížeče, kde až budou dešifrovány, jen pak celá aplikace bude běžet téměř výhradně na klientovi a bez JS si neškrtne.

Este by ma zaujimalo, ci je bezpecne ukladat iba na jeden server, alebo rozdelit na viacej serverov. Rozum hovori, ze na viacerych serveroch je to bezpecnejsie ale zase ta technicka stranka veci....

To mi přijde spíš jako otázka, zda-li ti bude vadit, když ten server, kde ty klíče jsou, třeba havaruje (a přijdeš o všechna data). Samozřejmě, čím méně míst, kde je něco uloženo, tím lépe (i proto, že je méně problémům s editací takové informace). Ale nevidím to jako čistě bezpečnostní otázku.

Akceptované řešení
+20 Zkušeností
+2,50 Kč
Řešení problému
Nahoru Odpovědět
30.8.2019 21:20
2 + 2 = 5 for extremely large values of 2
Děláme co je v našich silách, aby byly zdejší diskuze co nejkvalitnější. Proto do nich také mohou přispívat pouze registrovaní členové. Pro zapojení do diskuze se přihlas. Pokud ještě nemáš účet, zaregistruj se, je to zdarma.

Zobrazeno 5 zpráv z 5.