Добрый день. Мы все уже давно привыкли к тому что конфиденциальная информация пользователей должна быть зашифрована и желательно так чтобы её невозможно было расшифровать, классический пример - хэш, но по сути, какой в этом смысл. Какой смысл шифровать данные которые хранятся в базе данных куда нет прямого доступа ни у кого кроме использующего приложения? Ведь в лучшем случае мы используем хэш + "соль" - какая-то строка которая тоже хранится в открытом виде в исходных кодах проекта, если кто-то получил доступ к БД где вероятность что он не получил доступ к файлу с "солью"?
По-моему на много логичнее шифровать канал между клиентом и сервером чтобы защититься хотя бы от банального перехвата, простейший вариант предложил Диффи Хэллман, т.е. данные будут храниться в базе в открытом виде, но при обмене информацией с клиентом они будут зашифрованы.
Вероятность того что кто-то получит прямой доступ к Базе Данных крайне мала (если конечно вы доверяете серверу)
Есть один интересный метод нарушения конфиденциальности - человек по середине, он основан на том что клиент и сервер общаются друг с другом через посторонний компьютер, который выдаёт себя за сервер для клиента и говорит серверу что он и есть клиент, этот метод не очень популярен, но всё же очень эффективен, потому-как определить задержку информации иногда бывает очень сложно, а за эти несколько миллисекунд хорошее приложение может получить всю необходимую информацию.
Если честно, топик не преследует какую-то определенную практическую цель, скорее просто порассуждать и попробовать прийти к какому-то логическому выводу. =)

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки

тут только что было описано работы https шифрование между сервером и клиентом

bestxp
я знаю про существование SSL для HTTP (TCP:443), сам давно его юзаю, просто интересно как можно защитить канал и информацию на уровне приложения.
Допустим, как вариант, взять тот же подход ДХ и написать js который будет для клиентов генерировать случайное число, и на сервере функцию для генерирования своего случайного числа, а дальше по методу ДХ производить шифрование, мне кажется это лучше чем передавать данные в открытом виде но в базе хранить их защищенные. Логики в этом никакой. Или я не прав?

Если совсем грубо, то md5 используется исключительно для успокоения, ну и для очистки совести, чтобы потом можно было сказать что-то типа "Ваши данные надежно защищены сервером базы данных, который спрятан за семью аппаратно/программными файрволлами и зашифрованы алгоритмом который не поддается декодированию, только перебору"

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки

McLotos

vagrand
т.е. это способ защиты от использования дыры которая возможно существует только в теории?
Не совсем понимаю. Мы же знаем о местах в которых может быть проведена атака и знаем даже о способах атаки, неужели мы все ещё допускаем эти дыры?

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки

McLotos

.

McLotos

vagrand
защита информации не должна основываться на незнании =)
но мы ушли далеко от темы, допустим что я храню пароли в открытом виде, и при этом у меня есть 100% гарантия защищенности сервера базы данных.

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки

vasa_c
всё проще, но не буду вдаваться в детали, это уже администрирование а не программирование, хочешь подискутировать на эту тему? =)
Я просто пытаюсь понять не логичнее ли писать алгоритм для шифрования канала вместо того чтобы хранить зашифрованные данные в базе, при чем алгоритм должен быть динамическим, т.ею он должен постоянно изменяться чтобы в случае его обнаружения невозможно было расшифровать данные =)

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки

McLotos

Две части ключа это хорошо, даже очень, а что если обе части будут динамические?

_____________
программирование - инструмент для решения конкретных задач, любая попытка спроектировать что-то универсальное приведет к провалу.©paul85
В любом случае тебе прийдётся пройти путь изобретения велосипеда, который прошли другие, только причиной твоего изобретения будет непонимание принципов работы велосипеда изобретённого другими людьми.©SlavaFr
jQuery это попытка использовать АН-225 для перевозки зубочистки