0

我的 Web 应用程序需要连接到多个 FTP 服务器，并且我不希望 FTP 密码以纯文本形式存储。散列不是一种选择，因为我需要双向加密。

这就是我基于 mcrypt 文档用 PHP 编写以下类的原因。它使用 mcrypt 来加密和解密纯文本。密码输入字段用作 $password 变量的输入。

当我使用 50 个字符的强密码加密文本时，我可以认为这种加密是安全的吗？

先感谢您。

class Crypto
{
    private $_iv_size, $_iv;

    function __construct()
    {
        $this->_iv_size = mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_CBC);
        $this->_iv = mcrypt_create_iv($this->_iv_size, MCRYPT_RAND);
    }

    function encrypt($plaintext, $password)
    {       
        $key = pack('H*', hash("SHA512", $password, true));
        $plaintext_utf8 = utf8_encode($plaintext);
        $ciphertext = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $key,
        $plaintext_utf8, MCRYPT_MODE_CBC, $this->_iv);
        $ciphertext = $this->_iv . $ciphertext;
        $ciphertext_base64 = base64_encode($ciphertext);

        return $ciphertext_base64;
    }

    function decrypt($ciphertext_base64, $password)
    {
        $key = pack('H*', hash("SHA512", $password, true));
        $ciphertext_dec = base64_decode($ciphertext_base64);
        $iv_dec = substr($ciphertext_dec, 0, $this->_iv_size);
        $ciphertext_dec = substr($ciphertext_dec, $this->_iv_size);
        $plaintext_utf8_dec = mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $key,
        $ciphertext_dec, MCRYPT_MODE_CBC, $iv_dec);

        return $plaintext_utf8_dec;
    }
}
4

1 回答 1

0

是的，AFAICS(1) 代码应该保护有效载荷。

由于您是从密码中获取用于加密的密钥，因此在您的代码中只实现一次会更简洁（即使它只有一行）。但明显的 WTF 是您通过所有这些麻烦来保护以明文形式发送到 FTP 服务器的 FTP 密码！

1 - 无法证明代码是安全的或没有错误的

于 2013-04-19T11:30:43.467 回答