Php 使后端的六位pin系统更加安全
我正在开发一个密码管理器，它有两种形式的身份验证 首先，用户使用其密码登录。我使用bcrypt安全地工作 下一部分要复杂得多。用户保存的服务以JSON格式存储，如下所示：Php 使后端的六位pin系统更加安全,php,json,security,aes,Php,Json,Security,Aes,我正在开发一个密码管理器，它有两种形式的身份验证 首先，用户使用其密码登录。我使用bcrypt安全地工作 下一部分要复杂得多。用户保存的服务以JSON格式存储，如下所示： { "name":"facebook", "login":"myemail@email.com", "signup-email":"myemail@email.com", "password":"121654754321", "notes":"my security quest
{
"name":"facebook",
"login":"myemail@email.com",
"signup-email":"myemail@email.com",
"password":"121654754321",
"notes":"my security questions answer is \"blah blah blah\""
}
这样做可能有什么缺陷？有谁能推荐一种更好的方法来实现这一点吗？pin是已知的，只有用户才能插入？您可以使用PBKDF2（基于密码的密钥派生函数）基于该6位pin（和salt）生成安全加密密钥，而不是使用6位pin+salt对数据进行加密。这样，每个用户将拥有不同的（安全的）加密密钥。请注意，除此之外，您应该始终使用不同的加密安全生成的IV，该IV可以附加（或前置）到加密数据中 您的实现的安全缺陷在于，您的pin+salt可能没有生成足够的熵，并且由于您没有提到IV，我想您没有使用IV，从而暴露了加密数据中的可能模式 因为我的实现存在安全缺陷，这取决于您的安全目标是什么。对于大多数人来说，PBKDF2（根据PHP实现的
hash_algos（）- 显然，您需要在服务器和客户端之间实施SSL（HTTPS）通信
- 为了保护用于加密的机密，需要很好地保护对服务器的访问。客户端解密大大降低了入侵造成的威胁，但这并不意味着它们不应该受到保护。这意味着微调防火墙、最新应用程序、对安全修复的反应性等
- 您需要向您的用户传授一两件关于安全性的知识。众所周知，通道的两端都必须安全，以便通道本身也安全
- 可能还有很多其他问题，但嘿，这不是关于安全的讲座；-）