<rmcreative>

• Блог
• Файлы

Все заметки с тегами «yii, Безопасность»

1. Yii 2 Conference 2016, Отчёт и материалы

   12 октября 2016

   24 сентября в Киеве, как и планировалось, прошла мини-конференция, докладчиками которой выступили члены команды Yii и Codeception. Всего было четыре доклада и довольно продолжительная сессия вопросов и ответов. Вышло отлично. И организаторы и докладчики большие молодцы. Аудитория тоже очень порадовала.

   Доклады получились интересными и писались на видео. Всем рекомендую.

   Читаем

   • Безопасность
   • Yii
   • ActiveRecord
   9 комментариев

2. Составные части хеш-строки bcrypt

   26 ноября 2015

   Хороший способ хранения данных для аутентификации — хеш-строки bcrypt. В PHP это реализуется при помощи crypt с алгоритмом blowfish. В более поздних версиях PHP — при помощи password_hash. В Yii для этого есть Security::generatePaswordHash(). Выглядит строка на выходе вот так:

   $2y$13$YUUgrko03UmNU/fe6gNcO.Hka4lrdRlkq0iJ5d4bv4fK.sKS.6jXu

   Длина в случае пароля всегда 60 символов.

   • 2y - версия алгоритма bcrypt. Мы используем blowfish, так что в новых версиях PHP должна быть всегда 2y.
   • 13 - cost. Стоимость вычислений. 2^13 итераций функции формирования ключа.
   • Оставшееся — конкатенированные соль и хеш, закодированные через base64 с немного нестандартным набором символов. Первые 22 символа — 16 байт соли. Оставшееся — хеш.

   При сравнении пароля bcrypt достаёт версию алгоритма, cost и соль из хеш-строки сохранённого пароля. Далее, используя их, вычисляет хеш нового пароля и сравнивает с сохранённым хешем.

   • PHP
   • Безопасность
   • Yii
   • hash
   • bcrypt
   • password
   5 комментариев

3. Перестаньте использовать mcrypt

   13 мая 2015

   Сегодня в очередной раз всплыла статья об распространённых ошибках при реализации шифрования. Сама по себе она ничего так, но местами учит плохому. А именно, использовать mcrypt.

   Почему его не стоит использовать

   mcrypt не обновлялся более десяти лет и не планирует. Авторы его забросили. В нём есть серьёзные недоработки.

   И что делать?

   Мы в Yii от него ушли в сторону OpenSSL, чего и вам советую. Реализовал переход, в основном, Tom Worster. У него есть серия интересных постов на тему.

   • PHP
   • Безопасность
   • Yii
   • mcrypt
   • openssl
   8 комментариев

4. Yii 1.1.15 (исправление безопасности)

   30 июня 2014

   Вышел Yii 1.1.15, исправляющий проблему безопасности, найденную в 1.1.14. Более ранние версии не затронуты. Если вы используете его, следует обновиться. 1.1.15 полностью совместим с 1.1.14.

   Уязвимость затрагивает CDetailView. Если ваше приложение берёт значение value от пользователя, то атакующий имеет возможность выполнить произвольный PHP скрипт на вашем сервере. Мы не раскрываем подробностей сразу чтобы дать время обновиться. По нашим данным детали пока известны только основной команде разработчиков фреймворка.

   Уязвимости присвоен номер CVE-2014-4672.

   Забрать дистрибутив можно, как обычно, на yiiframework.com или обновиться через Composer.

   • Безопасность
   • Yii
   5 комментариев