В качестве ключа шифрования использовать параметр, доступный только на самом сервере. Например мак-адрес сетевого устройства или еще какой-то параметр какой-нидудь железки на сервере.
Соответственно, на другой машине ничего не расшифровать.

_____________
Бесплатному сыру в дырки не заглядывают...

FatCat
Если злоумышленник получил доступ на сервер, то что помешает ему узнать макадрес и использовать его для декодирования?

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

sergeiss
Идея блокировки частых запросов или как минимум уведомления администратора о подозрительной деятельности на самом деле очень здравая. Вот только это надо делать вдумчиво. Возможно сделать это настраиваемым параметром.

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

FatCat
Я ведь уже неоднократно в теме писал о том, что серийники не генерется. Это коды пополнения, их предоставляет оператор. Вы что никогда не пополняли мобильник купив пластиковый ваучер с защитной полосой, под которой скрыт пинкод для пополнения?

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

А зачем вообще хранить ключ на сервере? Сгенерировать его и отдать юзеру. СМС-кой допустим для пущей важности. Ну или просто на странице. Мол запомни, без него доступу кирдык. Правда тогда реальный кирдык будет, если он ключ потеряет. Разве что оригиналы хранить в другом месте для аварийных случаев.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

FatCat
Ну так в этом и состоял смысл топика, найти возможности или осложнить жизнь злоумышленнику или вообще не дать ему ничего расшифровать.

twin

vagrand

twin

$key1 = 'secretkey1';
$key2 = 'secretkey2';
$key_code = 'asDFA';

//Твой сенрийник
$code = 'FDa2dfsaf';

//первый кусок 0-4 символа
$path1 = substr($code,0,4);
//второй кусок 5-до конца
$path2 = substr($code,5,20);


$cr_path1 = crypt($path1,$key1); //seN07bBKlhTWc
$cr_path2 = crypt($path2,$key2); //sexjGlbrjI2So

//Длину хешей - хранить в БД - чтобы потом правильно разделить хеши
$len1 = strlen($cr_path1);
$len2 = strlen($cr_path2);

//echo $cr_path1,'<br/>';
//echo $cr_path2;

//склеил и захешировал 2 куска
$cr_code = crypt($cr_path1.$cr_path2,$key_code);

echo $cr_code;//asZdkd6LUB1V6

можно использовать разные виды хешей (так же писать в БД к размерам хешей)

для дешифрования проделать обратный алгоритм (учитывая длину отдельных хешей

_____________
HTML, CSS (Bootstrap), JS(JQuery, ExtJS), PHP, MySQL, MSSql, Posgres, (TSql, BI OLAP, MDX), Mongo, Git, SVN, CodeIgnater, Symfony, Yii 2, JiRA, Redmine, Bitbucket, Composer, Rabbit MQ, Amazon (SQS, S3, Transcribe), Docker

Игорь_Vasinsky
Спасибо конечно, но как шифровать и дешифовать я знаю. Вопрос то ведь был в другом. Где хранить ключи и зашифрованые сирийки так, чтобы даже слив базу их нельзя было расшифровать?

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.