PHP सुरक्षा: पासवर्ड कहाँ और कैसे संग्रहीत करें। भाग 1

हर साल, दुनिया में अधिक से अधिक हैकर हमले होते हैं: क्रेडिट कार्ड चोरी से लेकर ऑनलाइन स्टोर की हैकिंग साइट्स तक। क्या आप सुनिश्चित हैं कि आपकी स्क्रिप्ट वास्तव में सुरक्षित हैं? "बैकएंड PHP डेवलपर" पाठ्यक्रम की शुरुआत की प्रत्याशा में , हमारे सहयोगी ने PHP में सुरक्षा पर एक दिलचस्प प्रकाशन तैयार किया ...

---

परिचय

फेसबुक और कैम्ब्रिज एनालिटिका घोटाला, 2016 में अमेरिकी डेमोक्रेटिक पार्टी का पत्राचार लीक, 2018 में Google का डेटा भंग, और 2012 में याहू वॉयस हैक पिछले कुछ वर्षों में दर्ज प्रमुख लीक के कुछ उदाहरण हैं।

वैश्विक स्तर पर जानकारी अब हमें पहले की तरह उपलब्ध है। यदि आप उचित देखभाल नहीं करते हैं, तो अपने बारे में जानकारी (गोपनीय प्रकृति की जानकारी सहित) भी सार्वजनिक डोमेन में हो सकती है।

इससे कोई फर्क नहीं पड़ता कि आप किस तरह का प्रोजेक्ट विकसित कर रहे हैं: एक ओपन-सोर्स बच्चों का खेल या किसी बड़े उद्यम से ऑर्डर पूरा करना। एक वेब डेवलपर के रूप में आपकी जिम्मेदारी आपके सभी प्लेटफार्मों के लिए सुरक्षा प्रदान करना है। सुरक्षा बहुत कठिन पहलू है।

PHP भाषा कई उपकरण और फ़ंक्शन प्रदान करती है जिनका उपयोग आप एप्लिकेशन सुरक्षा सुनिश्चित करने के लिए कर सकते हैं।

3 पासवर्ड सुरक्षा नियम

उपयोगकर्ता पासवर्ड आपके लिए अज्ञात रहना चाहिए।

मुझे अभी भी PHP डेवलपर के रूप में अपने पहले कदम याद हैं। मैंने जो पहला एप्लिकेशन बनाया, वह एक गेम था, जिसमें अपने दोस्तों के साथ मिलकर मैंने एक गगनचुंबी इमारत बनाने वाले की भूमिका निभाई थी। हम में से प्रत्येक अपने खाते में लॉग इन कर सकते हैं, बिल्डरों को खरीद सकते हैं और अपनी टीम को हर हफ्ते एक नए निर्माण स्थल पर भेज सकते हैं। मैंने मूल खाते बनाए: मैंने प्रत्येक उपयोगकर्ता के लिए एक उपयोगकर्ता नाम और पासवर्ड जोड़ा और उन्हें ई-मेल द्वारा भेजा। और कुछ महीनों के बाद ही मुझे एहसास हुआ कि यह कितना बेवकूफ था।

सामान्य नियम यह है: आपको न केवल अपने उपयोगकर्ताओं के पासवर्ड पता होना चाहिए - आपको उन्हें पहचानने में सक्षम नहीं होना चाहिए। यह एक बहुत ही गंभीर पहलू है जो कानूनी दायित्व को भी पूरा कर सकता है।

परीक्षण और त्रुटि से, आप अभी भी इस निष्कर्ष पर पहुंचते हैं कि पासवर्ड को सादे पाठ या इस तरह से संग्रहीत करने की आवश्यकता नहीं है कि उन्हें आसानी से डिक्रिप्ट किया जा सकता है।

पासवर्ड प्रतिबंध दर्ज न करें

चलो एक खेल खेलते हैं। पासवर्ड का अनुमान लगाने की कोशिश करें:

**********

मुश्किल है, है ना? आइये इसे आजमाते हैं:

पी * आर *** ई ***

अब आप जानते हैं कि एक कैपिटल लेटर है और कुछ कैपिटल लेटर्स हैं। और यदि ऐसा है:

P * r *** e911

अब आपके लिए पासवर्ड का अनुमान लगाना बहुत आसान हो जाएगा - क्योंकि आप जानते हैं कि इसमें एक कैपिटल लेटर, कैपिटल लेटर्स और एक नंबर शामिल है।

जब आप उपयोगकर्ताओं और उनके पासवर्ड के लिए मास्क पर प्रतिबंध लगाते हैं तो वही बात होती है। यदि आपके आवेदन में एक विशिष्ट पैटर्न का पालन करने की आवश्यकता है, तो आप घुसपैठियों को संकेत देते हैं कि वे आपके खिलाफ उपयोग कर सकते हैं।

एक निश्चित न्यूनतम पासवर्ड लंबाई की आवश्यकता सामान्य है, क्योंकि पासवर्ड की लंबाई इसे लेने में लगने वाले समय को प्रभावित करती है। हालांकि, इसके बजाय, यह पता लगाना अधिक उपयोगी होगा कि एल्गोरिदम और हैशिंग कैसे काम करते हैं।

वैसे, ऊपर पहेली का सही जवाब "पोर्श 911" है :)

कभी भी ई-मेल द्वारा पासवर्ड अपने शुद्धतम रूप में न भेजें

एक वेब डेवलपर के रूप में मेरी पहली गलतियों में से एक यह थी कि मैंने पहले से पासवर्ड का प्रबंधन करना नहीं सीखा।

कल्पना कीजिए कि आप एक ग्राहक हैं और आप अपने व्यवसाय के लिए एक अच्छी ई-कॉमर्स साइट बनाने के लिए एक डेवलपर को नियुक्त करते हैं। इस डेवलपर ने आपको एक ईमेल भेजा है जिसमें आपकी साइट का पासवर्ड है। अब आप अपने कर्मचारी के बारे में तीन बातें जानते हैं:

1. वह आपका पासवर्ड जानता है।
2. यह किसी भी एन्क्रिप्शन का उपयोग किए बिना, आपके पासवर्ड को अपने शुद्धतम रूप में संग्रहीत करता है।
3. इंटरनेट पर पासवर्ड भेजते समय वह जरा सी भी चिंता महसूस नहीं करता।

जवाब में, इस तरह के एक कर्मचारी को खारिज करने के अलावा कोई विकल्प नहीं है।

यहां वेब डेवलपर को क्या करना चाहिए:

1. अपने वेब एप्लिकेशन में एक पेज बनाएं जहां उपयोगकर्ता पासवर्ड भूल जाने की स्थिति में अपना ई-मेल दर्ज कर सकता है और इस तरह नए पासवर्ड का अनुरोध कर सकता है।
2. आपका आवेदन अद्वितीय पहुंच अधिकार उत्पन्न करेगा और इसे उस उपयोगकर्ता को बाँध देगा जिसने अनुरोध किया था (मैं व्यक्तिगत रूप से एक सार्वभौमिक व्यक्तिगत पहचानकर्ता का उपयोग करता हूं)।
3. एप्लिकेशन उपयोगकर्ता को एक ईमेल भेजेगा जिसके लिंक एक लिंक के साथ पहुंच के दाईं ओर होंगे।

जैसे ही उपयोगकर्ता लिंक का अनुसरण करता है, एप्लिकेशन सही पहुंच की पुष्टि करेगा और उपयोगकर्ता को पासवर्ड बदलने की अनुमति देगा।

देखें कि इन सरल चरणों के साथ ऐप की सुरक्षा कैसे बढ़ी है? यदि वांछित है, तो हम अनुरोध के बीच एक समय सीमा जोड़कर और एक नया पासवर्ड सेट करके सुरक्षा के स्तर को और भी अधिक बढ़ा सकते हैं।

कैसे उपयोगकर्ता पासवर्ड हैश करने के लिए

वेब एप्लिकेशन में पासवर्ड को एन्क्रिप्टेड किया जाना चाहिए, एन्क्रिप्टेड नहीं। एन्क्रिप्शन एक दो-तरफ़ा एल्गोरिथम है। अनुक्रम एन्क्रिप्ट किया गया है, जिसे आप फिर से डिक्रिप्ट और पुन: उपयोग कर सकते हैं। सहयोगी देशों से जानकारी प्राप्त करने के लिए अक्सर इस तकनीक का उपयोग खुफिया में किया जाता है।

हाशिंग से पता चलता है कि अनुक्रम को प्लेटेक्स्ट में वापस नहीं किया जा सकता है। यह पूरी प्रक्रिया का अंतिम लक्ष्य है।

विभिन्न लक्ष्यों को प्राप्त करने के लिए, कई एल्गोरिदम विकसित किए गए हैं: कुछ में उच्च गति की विशेषता है, अन्य अत्यधिक विश्वसनीय हैं। यह तकनीक लगातार विकसित हो रही है, और पिछले कुछ वर्षों में कई बदलाव हुए हैं। अब हम कालानुक्रमिक क्रम में इसकी तीन सबसे लोकप्रिय किस्मों पर विचार करेंगे।

SHA-1

यह ऐतिहासिक रूप से पहला हैश समारोह था। SHA-1 का संक्षिप्त नाम यूएस नेशनल सिक्योरिटी एजेंसी द्वारा विकसित “सेफ हैशिंग एल्गोरिथम” है।

SHA-1 अच्छी तरह से जाना जाता था और 40 वर्णों की लंबाई के साथ 20-बाइट हेक्साडेसिमल स्ट्रिंग बनाने के लिए PHP में व्यापक रूप से उपयोग किया जाता था।

SSL उद्योग कई वर्षों से डिजिटल हस्ताक्षर के लिए SHA-1 का उपयोग कर रहा है। फिर, कुछ कमजोरियों की पहचान करने के बाद, Google ने निर्णय लिया कि यह SHA-2 पर स्विच करने का समय है।
एल्गोरिथ्म का पहला संस्करण 2005 में पदावनत किया गया था। इसके बाद, नए संस्करण विकसित किए गए और उपयोग के लिए अपनाया गया: SHA-2, SHA-2 और SHA-256।

Bcrypt

Bcrypt, SHA के प्राकृतिक विकास का परिणाम नहीं है, इसकी सुरक्षा के स्तर के कारण व्यापक दर्शकों को आकर्षित करने में कामयाब रहा।

यह बेहद धीमा एल्गोरिदम सबसे सुरक्षित हैशेड अनुक्रम बनाने के लिए बनाया गया था। हैशिंग डेटा की प्रक्रिया में, यह कई चक्रों से गुजरता है, जो कंप्यूटर प्रौद्योगिकी में श्रम लागत के संकेतक द्वारा वर्णित है। श्रमिक की दर जितनी अधिक होगी, एक हैकर के लिए पासवर्ड प्राप्त करना उतना ही महंगा होगा।

अच्छी खबर है: भविष्य में, हम अधिक शक्तिशाली मशीनों का उपयोग करने में सक्षम होंगे जो तेजी से अधिक चक्रों को पारित करने में सक्षम हैं।

Argon2

यह एक नया फैशनेबल हैशिंग एल्गोरिथ्म है जिसे लक्समबर्ग विश्वविद्यालय से एलेक्स बिरयुकोव, डैनियल दीनू और दिमित्री होवरतोविच द्वारा विकसित किया गया है। 2015 में, उन्होंने पासवर्ड हाशिंग प्रतियोगिता जीती।

आर्गन 2 को 3 संस्करणों में प्रस्तुत किया गया है:

1. Argon2d मेमोरी की एक सरणी तक पहुँचता है, जो मेमोरी और टाइम ओवरहेड को कम करता है। हालांकि, उन्हें तीसरे पक्ष के चैनलों के माध्यम से हमले का खतरा है।
2. आर्गन 2i आर्गन 2d के विपरीत है। यह तृतीय-पक्ष चैनलों पर हमलों के लिए अनुकूलित है और एक पासवर्ड-स्वतंत्र तरीके से मेमोरी तक पहुंचता है।
3. Argon2id दो पिछले संस्करणों के बीच का एक मध्यवर्ती संस्करण है।

इस फ़ंक्शन के 6 पैरामीटर हैं: पासवर्ड अनुक्रम, नमक, स्मृति लागत, समय लागत, समानता कारक (समानांतर धागे की अधिकतम अनुमत संख्या), हैश लंबाई।

लेख के दूसरे भाग में, मैं आपको बताऊंगा कि अंतर्निहित कार्यों का उपयोग करके PHP में इस हैशिंग का उपयोग कैसे करें, और अब मैं सभी को मुफ्त ऑनलाइन वेब सर्वर "ServerLess PHP" पर आमंत्रित करना चाहता हूं, जिसमें हम सर्वर रहित अवधारणा से परिचित हो जाएंगे, एडब्ल्यूएस, प्रयोज्यता, में इसके कार्यान्वयन के बारे में बात करेंगे। कीमतों। हम असेंबली और लॉन्च के सिद्धांतों का विश्लेषण करेंगे, साथ ही साथ AWS लैम्ब्डा पर आधारित एक साधारण टीजी-बॉट का निर्माण करेंगे।