[php] Passworte vorm Webserver verstecken

[Thomas Ritz]

Hallo Liste, hallo Mark,

> Den Ansatz verstehe ich nicht. Lege die PW Datei doch einfach dahin wo
> die FTP User nicht hinkommen. Oder chroote die User direkt ins

Das ist schon so gelöst. Die include-Datei liegt in einem für FTP-Nutzer
nicht erreichbaren Verzeichnis. Schreiben darf auf sie nur root und
lesen darf sie wwwrun. Damit wieder jeder, der weiß wo sie liegt und die
file-Funktionen von php nutzt. Zumindest in der Modul-Version läßt sich
das doch wohl nicht abstellen. Oder?

Vielleicht das Problem noch mal am konkreteren Beispiel:

- Es gibt einen Datenbankuser mit einem Passwort
- Kein Web-User darf in der Lage sein, die Datenbank direkt als obiger
User auszulesen
- mehrere Web-User müssen dennoch die Datenbank auslesen können

Daraus ergibt sich für mich:
- das Passwort des Datenbankusers wird verschlüsselt abgelegt
- die Web-User müssen in der Lage sein, es durch Eingabe eines anderen
Passwortes per PHP-Script zu entschlüsseln

Nur hat jeder Web-User hat ein anderes Passwort. Und damit wird es
höhere Mathematik ;-) Meine Überlegung war, dass jedem Web-User ein
Schlüssel zugeordnet wird, der in Kombination mit seinem (Web-)Passwort
das Passwort für den Datenbankuser wieder herstellen kann. Diesen
Schlüssel könnte ich dann bequem in eine von allen lesbare Datei packen.

> Document Root. Wenn du das mit PHP und verschlüsseln machst können
> deine User doch die entsprechenden PHP Dateien analysieren und kommen
> so an eins der Passwörter ran.

Sie könnten dann die Schlüssel analysieren. Aus denen darf das
eigentliche User-Passwort aber ebenso wenig herstellbar sein wie das
Passwort des Datenbank-Users. Und da wollte ich lieber nicht selber
basteln sondern auf ein erprobtes Verfahren zurückgreifen, das sich über
eine PHP-Funktion nutzen läßt.

gruss
ritze