以前我就这么干,但是我并没有“保存”只是发送。
不如来段代码来的实际
$password = generatePassword(10);
// password: 1234567890
sendmail('[email protected]',"your password is {$password}");
$db->execute("update users set password = ? where uid = x", sha1($password));
有些时候是不是有些反应过激了……
1
publicID123 2015-01-26 01:30:47 +08:00
数据还是过境公网了。而且“献”给了对方邮局运营商。
|
2
publicID123 2015-01-26 01:31:04 +08:00
反正,我会获取用户明文密码。
2048位RSA加密一下,存进数据库。程序中只有公钥。私钥存U盘里自己收好。 这样,只有我一个人能拥有这份数据。即使被黑客拖库。 |
3
dndx 2015-01-26 02:22:35 +08:00
你能保证邮件在传输过程中没有被人截获?
|
4
NeoAtlantis 2015-01-26 02:38:38 +08:00
不要用md5,不要用sha1,对也不要用sha512,不要用任何单一的散列,不要用加盐,不要用两个复合的散列,不要用三个复合的散列……
要用pbkdf2或者bcrypt或者scrypt来拖延时间…… |
5
imn1 2015-01-26 02:50:49 +08:00
结合最近银行内鬼事件……
明文传送也只是一次拦截可以获取机会,但明文保存就有无数次可以获取的机会 看到邮件发回我的密码的网站,一律降级对待该站点—— 换邮箱、换密码,甚至舍弃原来帐号另注册一个 帐号、邮箱、密码一律都换成被偷也没所谓那种,至少不能从该密码推测其他站点的密码 |
6
ericls 2015-01-26 03:02:49 +08:00
如果不用明文,相关部门要你提供用户密码的时候 咋办呢?
|
7
NeoAtlantis 2015-01-26 05:05:38 +08:00 via Android
@ericls 直接从你要服务器的权限就好啊,都有关部门了还这么麻烦…
|
9
lzxgh621 2015-01-26 05:39:58 +08:00
@NeoAtlantis 性能。。。
|
10
NeoAtlantis 2015-01-26 07:23:51 +08:00
@lzxgh621 如果用单一散列很快,那么生成彩虹表就更快了。这就是拖延时间的意义。
|
11
NeoAtlantis 2015-01-26 07:25:40 +08:00
@lzxgh621 有关部门不应该是都不用张嘴直接去服务器登进去调查么……
|
12
babyname 2015-01-26 08:27:56 +08:00 via iPhone
这么说吧 明文是某部门要求的 网站也不想明文
|