Где хранить пароль к базе MySQL?

[InterCat]

Делаю сайт, который использует базу данных MySQL. Подскажите, исходя из соображений безопасности, где лучше хранить пароль и логин для подключения к базе?

в файле конфига

[InterCat]

Логично. Прямо так, в незашифрованном виде?

InterCat:
Логично. Прямо так, в незашифрованном виде?

ну зашифруйте... а что передавать будете?
зашифруйте чем-нить, только расшифровать же надо, где ключик хранить будете?

как вариант, файл конфига зазендить, после подключения уничтожать перменные с логином и паролем...

в голове лучше всего хранить... вообще не понимаю, зачем где-то зашивать логин с паролем...

ryfm:
в голове лучше всего хранить... вообще не понимаю, зачем где-то зашивать логин с паролем...

и у каждого юзера при входе спршивать логин - пароль от мускула

[BorLase]

Сообщение от AleXXXSoft

и у каждого юзера при входе спршивать логин - пароль от мускула

а если не скажет - тут же высылать спецназ на захват за попытку взлома!

Сообщение от AleXXXSoft

и у каждого юзера при входе спршивать логин - пароль от мускула

ну тогда я не понимаю, какая разница где его хранить, если любой юзверь может обратиться на базу, пусть пишет в конфиг.

ryfm:
ну тогда я не понимаю, какая разница где его хранить, если любой юзверь может обратиться на базу, пусть пишет в конфиг.

эт самое..... вы не с луны упали, тут речь ~немножко~ о другом

[InterCat]

В общем, я так понял в конфиг пароль и логин, прям так как есть без всякого шифрования. Так?

в общем у вас 2 способа:

1. открытым текстом в конфиг
2. открытым текстом в конфиг, тут же создавать соединение, сразу после этого уничтожать переменные, конфиг после этого шифровать Zend-ом

P.S. 2-й способ для параноиков

P.P.S. шифрование самого пароля - идея тоже хорошая, но, тогда алгоритм расшифровки должен где-то лежать в открытом виде, и, вероятно, с ключем шифрования

P.P.P.S. шифрованный пароль тоже не передашь...

[EvroStandart]

В умных книжках советуют сбрасывать конфиги в отдельную директорию, куда у пользователя нет доступа. И всю такую инфу типа паролей хранить там.

[InterCat]

Спасибо всем за информацию!

да это само собой разумеещееся.... (че за слово?), тут типа мысль такая, чтобы этот файл не прочитали например через дыру в форуме пхпББ

[BorLase]

из области фантастики

если пхпББ обращается к БД, то он должен иметь доступ к файлу с паролем; если форум взломан, действия идут от имени форума; значит, доступ к файлу будет

[Hubbitus]

BorLase:
если пхпББ обращается к БД, то он должен иметь доступ к файлу с паролем; если форум взломан, действия идут от имени форума; значит, доступ к файлу будет

Для него вполне может быть своя база, соответственно со своим файлом паролей, тиак что ничего фантастичного! Его взлом какраз и не должен вести к полному взлому всего сайта!

[BorLase]

в этом случае - естественно (если, конечно, админ не установил 777 на все файлы )

но речь, как я понял, идет о том, как защитить пасс СВОЕГО же сайта, а не соседних

[Hubbitus]

BorLase:
но речь, как я понял, идет о том, как защитить пасс СВОЕГО же сайта, а не соседних

Дак своего же и защитить. Если заботиться о безопасности, то впринципе правильнее сделать их из разных директорий, от разных пользователей и с разными БД.

[BorLase]

то ли мы говорим о разных вещах, то ли...

есть сайт; он обращается к БД - для этого ему надо иметь логин/пасс; если находится дыра в коде - доступ к этой инфе БУДЕТ

да, если к сайту прикручен пхпББ, к примеру - и он ходит под своими данными - это другое дело.

ты об этом?

[Hubbitus]

BorLase:
есть сайт; он обращается к БД - для этого ему надо иметь логин/пасс; если находится дыра в коде - доступ к этой инфе БУДЕТ

Конечно, с этим никто и не спорил. Тут вобщем-то и говорят что так и должно быть в общем-то и никуда не деться.

BorLase:
да, если к сайту прикручен пхпББ, к примеру - и он ходит под своими данными - это другое дело.

ты об этом?

угу. Если под своими, то не повлияет его взлом на сайт, но потдельности конечно при взломе доступ получат...