php - password - laravel 4.2 consultas con una columna encriptada

sha laravel

Question

Actualmente tengo este código en mi controlador que muestra un conjunto de registros aquí está mi código

public function view()
{
    $title = "View Guardian Information";
    $vPa   = DB::table(''dbo_guardianinformation'')
                ->join(''dbo_cities'', ''dbo_guardianinformation.CityID'', ''='' , ''dbo_cities.CityID'')
                ->select(''dbo_guardianinformation.ParentAccountID'',''dbo_guardianinformation.FirstName'',''dbo_guardianinformation.LastName'',''dbo_guardianinformation.Roles'',
                        ''dbo_guardianinformation.Address'',''dbo_cities.CityName'',''dbo_guardianinformation.Status'',''dbo_guardianinformation.EmailAddress'')
                ->get();
     //encrypt decrypt algo
    // $sptkey  = md5(''sample_encryptkey'');
    // $enPass  = rtrim(base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $sptkey, $defPass, MCRYPT_MODE_ECB)));
    // $decPass = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $sptkey, base64_decode($enPass), MCRYPT_MODE_ECB));

    return View::make(''ssims.view_parentAccount'',compact(''title'',''vPa''));
}

mi problema es que la columna dbo_guardianinformation.Address contiene registros encriptados que actualmente no tengo idea de dónde debería poner el código de descifrado para que cuando $vPa se pase a la vista ya contenga los registros descifrados. ¿algunas ideas? gracias a cualquiera que pueda ayudar

Answer 1

Indexar datos encriptados

Si necesita buscar una columna cifrada en una base de datos SQL rápida y eficientemente, necesita construir un índice oculto de los datos (es decir, almacenar hash_hmac(''sha256'', $plaintext, $separate_key_here) en una columna adicional) y estructurar su selección consultas basadas en eso. (El artículo vinculado explica los requisitos de seguridad).

Esto le ahorra tener que hacer un bucle foreach() pero, dado que se usa HMAC-SHA256, es increíblemente improbable que un atacante con acceso a la base de datos pueda extraer el texto sin formato del sistema.

Dicho esto, hay algo más que me gustaría abordar:

Criptografía Débil

Por favor, no use el código de encriptación que incluyó en su pregunta. Es muy inseguro. Laravel tiene su propia clase de encriptación ; por favor use eso en su lugar. Hace muchas cosas bien que el fragmento de código que incluyó no lo hace. Por ejemplo: proporciona cifrado autenticado .

$sptkey = md5(''sample_encryptkey'');

Si desea un poco de seguridad en su aplicación, nunca use md5($string) para generar una clave. Esta es solo una mala idea:

• md5() devuelve una cadena hexadecimal de 32 caracteres
• La mayoría de las funciones de cifrado esperan una cadena binaria en bruto
• MD5 es una función hash increíblemente rota
• Para transformar una contraseña en una clave de encriptación, debe usar una función de derivación de clave, es decir, P contraseña: F unción de falsación de KEY con la clave SHA-256 (PBKDF2-SHA256).

Considere, por ejemplo, este código en su lugar:

define(''MY_APP_PBKDF2_ITERATIONS'', 86000);
define(''MY_APP_KEY_LENGTH'', 32); // or 16 for AES-128
// ...
$sptkey = hash_pbkdf2(
    ''sha256'',
    $your_password,
    $salt, // 32 bytes from /dev/urandom
    MY_APP_PBKDF2_ITERATIONS,
    MY_APP_KEY_LENGTH,
    true
);

Expandí el espacio en blanco aquí y dejé algunos comentarios en línea a continuación:

$enPass = rtrim(                 // Unnecessary, base64_encode doesn''t leave whitespace
    base64_encode(
        mcrypt_encrypt(
            MCRYPT_RIJNDAEL_256, // This isn''t AES-256 by the way
            $sptkey,
            $defPass,
            MCRYPT_MODE_ECB      // ECB mode is the worst mode
        )
    )
);
$decPass = rtrim(               // Padding oracle attack
    mcrypt_decrypt(
        MCRYPT_RIJNDAEL_256,
        $sptkey,
        base64_decode($enPass), // No error checking
        MCRYPT_MODE_ECB
    )
);

Lectura adicional sobre los problemas específicos:

• MCRYPT_RIJNDAEL_256
• MCRYPT_MODE_ECB
• Padding Oracle Attack

Qué hacer en su lugar (elija uno):

• Usa las funciones de encriptación de Laravel , ya que estás usando Laravel.
• Use libsodium (altamente recomendado)
• Usar la clase de cifrado PHP de Defuse Security
• Cuando Halite golpea 1.0.0, cambia a eso (es básicamente libsodium para principiantes)

Answer 2

Resulta que con un pequeño retoque y la ayuda de João Mendes tuve el código como este

public function view()
{
    $title = "View Guardian Information";
    $vPa   = DB::table(''dbo_guardianinformation'')
                ->join(''dbo_cities'', ''dbo_guardianinformation.CityID'', ''='' , ''dbo_cities.CityID'')
                ->select(''dbo_guardianinformation.ParentAccountID'',''dbo_guardianinformation.FirstName'',''dbo_guardianinformation.LastName'',''dbo_guardianinformation.Roles'',
                        ''dbo_guardianinformation.Address'',''dbo_cities.CityName'',''dbo_guardianinformation.Status'',''dbo_guardianinformation.EmailAddress'')
                ->get();

    foreach ($vPa as $key => $dvPa) 
    {
        $sptkey  = md5(''this is secret'');
        $enAdd = $dvPa->Address;
        $decAdd = rtrim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $sptkey, base64_decode($enAdd), MCRYPT_MODE_ECB));

        $dvPa->Address = $decAdd;   
    }
    return View::make(''ssims.view_parentAccount'',compact(''title'',''vPa''));
}