Re: permisos sobre triguer

El 07/04/10 17:21, Alvaro Herrera escribió:
>> R. Se reestructuro el mecanismo de autentificación para que todo
>> > usuario de sistema web tenga un usuario de base de datos
>> > con su contraseña doblemente encriptada md5(md5(contraseña)). Por
>> > que existen varios roles propios del sistema, la dificultad de
>> > administración, y premura
>> > y estos nuevos usuarios de base de datos tenían privilegios de
>> > superusuario
>>
> Huh. Creo que aquí partió tu problema. md5 no es una función de
> cifrado (lo que tú mal llamas encriptación); es una función de
> "digerido". Usarla como si fuera cifrado es una idea muy mala, porque
> es obvio cómo encontrar una manera de escapársele.
>
>
>> > 3. El testeador accede a la tabla de usuario donde esta almacenada
>> > la contraseña con un MD5, descbure que el mecanismo de
>> > autentificación de usuarios en sistema es doble
>> > MD5(MD5(contraeña)) y accede a la base de datos
>>
> Este es obviamente otro problema muy serio (o, mejor dicho, es el mismo
> problema de arriba). La contraseña del usuario debes almacenarla pasada
> por md5(), y lo que te envía el usuario al conectarse debes aplicarle el
> mismo digerido md5() una sola vez. Hacerlo doble te somete al estúpido
> problema de que alguien puede ver el md5 en tus tablas y aplicar md5 una
> vez para conectarse a la base de datos.
>

Con repecto al MD5, es solo un problema de expresión, se que MD5 es
una función de digestión de una sola vía
( MD5(texto_claro) = texo_digerido, después que el texto esta digerido
con esta función, a partir del texto_digerido no puedes optener el
texto_claro)
y MD5 esto es lo que necesito para almacenar la contraeña_digerida en la
tabla de usuarios. y no, por decir un ejemplo, DES o AES

El problema es que se quiere parchar un sistema que no fue diseño
pensando en seguridad, es claro que la mejor solución es la que sugieres.
Pero ahora se tiene 200 usuarios de sistema con sus contraseñas ya
registradas (antes de ser detectado el problema),
y para hacer los que dices debería conocer la contraseña en texto_claro,
o cambiar y reasignar todas las contraseña a todos los usuarios;
pero esto ultimo no lo puedo hacer, por política del gerente de TI los
usuarios no pueden cambiar de contraseña, ni siquiera ellos mismos. y
una orden es una orden

Y eso es el mayor problema convencer a los altos mando de la
importancia de la seguridad.

--
EMPRESA NACIONAL DE ELECTRICIDAD
www.ende.bo
Tel.: (591-4) 4520253 - 4520228
Fax: (591-4) 4520318
---------------------------------------------------------------------------------
Este mensaje ha sido analizado automaticamente por el MailScanner de ENDE
y no han sido detectados virus ni otros contenidos peligrosos.