ต่อไป »

[nscyber]

ปกติผมทำงานก็เข้ารหัสข้อมูลสำคัญๆอยู่แล้ว แต่อยากสอบถามให้แน่ใจเพราะก็ไม่แม่นทฤษฏีมาก
1.สคริป PHP ที่มีการนำข้อมูลมาเข้ารหัส นั้นแฮ็คเกอสามารถดักข้อมูลได้หรือไม่ เพราะตามที่เข้าใจคือข้อมูลถูกเข้ารหัสภายใน เซฺฟเวอร์ หากส่งผ่านซอฟแวร์บน PC ถึงจะต้องเข้ารหัสหลายๆชั้นเรพาะข้อมูลถูกส่งมาจากเครื่อง Client
2.ปกติท่านเข้ารหัสด้วยวิธีใดบ้างครับ ปกติผมเล่นไม่กี่ตัวครับ SHA AES MD5 หลายชั้นๆ + Sult และอื่นๆ

ท่านใดมีเทคนิคดีๆ คำแนะนำดีๆ ผมในฐานะนักพัฒนา อยากขอเป็นความรู้ได้ไหมครับ เผื่อมีอะไรที่ผมยังไม่ค่อยรู้จะได้นำความรู้เหล่านั้นมาพัฒนาตัวเองให้ทำงานได้ดีขึ้น 

[BeerSkz]

1.ข้อมูลถ้าส่งจาก client ไปที่ server โดยไม่ผ่าน https ยังไงก็ดักจับได้ครับ
2.ขึ้นอยู่กับว่าข้อมูลนั้นเหมาะสมกับการเข้ารหัสแบบใด เช่นถ้าเป็นรหัสผ่าน ก็จะใช้ one-way encryption (md5, sha1, บลาๆๆ) ถ้าเป็นข้อมูลที่เข้าแล้ว ถอดรหัสทีหลังอันนี้ผมไม่รู้เหมือนกันว่าตอนนี้เขาใช้ตัวไหนกันบ้าง

[sputtaro]

1. ผมเชื่อว่า แฮกเกอร์เก่งๆ ดักจับได้หมดครับ ขอแค่ให้รู้ url หรือ ไอพีแอดเดรสที่ต้องการเข้าไปเท่านั้น แต่ยากหรือง่าย ใช้เวลานานหรือไม่นาน อีกเรื่องหนึ่งนะครับ
ยิ่งพวกเข้าถึงเซอร์เวอร์ได้แบบ insider นี่ ผมต้องยอมรับชะตากรรมตัวเองครับ
เลยไม่สนใจพวกแฮกเกอร์ซะเลย ปล่อยเขาไป

2. ผมเลือกใช้การเข้ารหัสแบบ HMAC https://en.wikipedia.org/wiki/...ed_message_authentication_code
ความจริง ผมไม่ได้เชี่ยวชาญ ชำนาญอะไรเลย แต่วันหนึ่งเมื่อประมาณ 10 ปี ก่อน
ผมออกแบบ และสร้างเว็บ สำหรับหาเงินจากการขายของ เลยทำเป็นแบบ remote shopping cart ของ amazon
ทำให้ได้รู้จักกับการเข้ารหัสแบบ HMAC
หลังจากนั้น ก็ใช้ตัวนี้มาตลอด เพราะ Hashing ที่ให้ใช้ secret key ได้ ผมเชื่อเอาเอง ว่ามันปลอดภัยหน่อย
แต่ทุกวันนี้ เห็น amazon  ใช้ SHA256 นะครับ ผมยังแค่ SHA1 อยู่เลย

[nuonly]

ติดตามครับ

[nscyber]

1. ผมเชื่อว่า แฮกเกอร์เก่งๆ ดักจับได้หมดครับ ขอแค่ให้รู้ url หรือ ไอพีแอดเดรสที่ต้องการเข้าไปเท่านั้น แต่ยากหรือง่าย ใช้เวลานานหรือไม่นาน อีกเรื่องหนึ่งนะครับ
ยิ่งพวกเข้าถึงเซอร์เวอร์ได้แบบ insider นี่ ผมต้องยอมรับชะตากรรมตัวเองครับ
เลยไม่สนใจพวกแฮกเกอร์ซะเลย ปล่อยเขาไป

2. ผมเลือกใช้การเข้ารหัสแบบ HMAC https://en.wikipedia.org/wiki/...ed_message_authentication_code
ความจริง ผมไม่ได้เชี่ยวชาญ ชำนาญอะไรเลย แต่วันหนึ่งเมื่อประมาณ 10 ปี ก่อน
ผมออกแบบ และสร้างเว็บ สำหรับหาเงินจากการขายของ เลยทำเป็นแบบ remote shopping cart ของ amazon
ทำให้ได้รู้จักกับการเข้ารหัสแบบ HMAC
หลังจากนั้น ก็ใช้ตัวนี้มาตลอด เพราะ Hashing ที่ให้ใช้ secret key ได้ ผมเชื่อเอาเอง ว่ามันปลอดภัยหน่อย
แต่ทุกวันนี้ เห็น amazon  ใช้ SHA256 นะครับ ผมยังแค่ SHA1 อยู่เลย

น่าสนใจครับ

[nscyber]

1.ข้อมูลถ้าส่งจาก client ไปที่ server โดยไม่ผ่าน https ยังไงก็ดักจับได้ครับ
2.ขึ้นอยู่กับว่าข้อมูลนั้นเหมาะสมกับการเข้ารหัสแบบใด เช่นถ้าเป็นรหัสผ่าน ก็จะใช้ one-way encryption (md5, sha1, บลาๆๆ) ถ้าเป็นข้อมูลที่เข้าแล้ว ถอดรหัสทีหลังอันนี้ผมไม่รู้เหมือนกันว่าตอนนี้เขาใช้ตัวไหนกันบ้าง

ขอบคุณครับ   

[MapTwoZa]

แล้วแต่จุดประสงค์ครับ

encryption ทั้วไปก็ AES256

hashing ก็ bcrypt หรือ sha

secure hashing ก็ hmac เช่น hs512

public/pricate key ก็ RSA


แต่ละแบบ มีข้อดีข้อเสียของตัวเอง เหมาะคนละ use case ครับ หรือเอามาผสมกัน

เช่น https ก็ไอข้างบน 3 อย่าง ( จาก 4 อย่าง ) มาผสมกัน

[nscyber]

แล้วแต่จุดประสงค์ครับ

encryption ทั้วไปก็ AES256

hashing ก็ bcrypt หรือ sha

secure hashing ก็ hmac เช่น hs512

public/pricate key ก็ RSA


แต่ละแบบ มีข้อดีข้อเสียของตัวเอง เหมาะคนละ use case ครับ หรือเอามาผสมกัน

เช่น https ก็ไอข้างบน 3 อย่าง ( จาก 4 อย่าง ) มาผสมกัน

ขอบคุณครับส่วนใหญ่จะเน้นการ hashing ข้อมูลไว้ตรวจสอบเป็นส่วนใหญ่ครับ 

[kingofdollars]

ผมใช้วิธีนี้ครับเวลาส่งข้อมูลไปยัง server แม้ไม่มี SSL


เช่นข้อมูลมี  A,B,C

ผมส่ง SHA 256 ของ A+B+C+salt ลำดับไม่เรียงตามนี้นะครับ

จึงส่ง A,B,C, HASH ไปให้ server

server ตรวจสอบว่า เมื่อเอา A+B+C+salะ เข้า HASH แล้วตรงกับ HASH หรือไม่ ถ้าไม่ตรงแสดงว่ามีการเปลี่ยนระหว่างทาง

[nscyber]

ผมใช้วิธีนี้ครับเวลาส่งข้อมูลไปยัง server แม้ไม่มี SSL


เช่นข้อมูลมี  A,B,C

ผมส่ง SHA 256 ของ A+B+C+salt ลำดับไม่เรียงตามนี้นะครับ

จึงส่ง A,B,C, HASH ไปให้ server

server ตรวจสอบว่า เมื่อเอา A+B+C+salะ เข้า HASH แล้วตรงกับ HASH หรือไม่ ถ้าไม่ตรงแสดงว่ามีการเปลี่ยนระหว่างทาง

ไอเดียดีครับ ขอบคุณครับ  ปัญหาถ้า hash ที่ส่งมาโดนด้วยนี่ มีเฮ