Synapse-CMS socialna sieť pre nenáročných - aktuálny stav

2.2.2014 15:24

Tak máme nedelne popoludnie a po dlhšej dobe čas napísať tu na na abíčku krátky blog. Tentokrát bude venovaný zhrnutiu dianiu okolo mojho CMS, ktorý ma slúžiť na vytvorenie socialnej siete.

 

Praktické nasadenie zatial má v podobe fan stránok pre slovenskú komunitu Haiku www.haikufans.6f.sk a tiež www.linuxaci.6f.sk

 

Čo pribudlo? Je pre mna jednoduchšie aj koli pomalšiemu uploadu ktorý mam spraviť jeden tar.gz archív než updatovať zdrojové kódy na Githube. Preto som zriadil domovskú stránku projektu: www.synapse-cms.6f.sk odkiaľ je možné stiahnúť zdrojáky.

 

S technickej stránky spomeniem, že heslá sú už od počiatku projektu hashovane cez MD5+centralne heslo, spravy su sifrované taktiež a pribudlo aj jednoduché šifrovanie súborov bez sifrovania nazvov (zatial).

 

stránky: www.synapse-cms.6f.sk

       

Komentáře

[Miriam]

ježiši, ty to ještě vyvíjíš? To ti nedošlo, že je to něco úplně zbytečný a k ničemu - no je poznat, že jsi linuxář. Nechceš radši dělat něco užitečného/zábavného?

[Antonym]

myslis, ze to rozhodnuti s tar.gz only misto githubu je moudre? Prakticky tim, zajistis, ze to bude jen oneman show a nikdo se ti nebude obtezovat posilat zadne patche. A osobne jsem docela skepticky k tomu, ze by pushnuti do repa bylo pomalejsi nez uploadnuti archivu - prece jen, komprimuje se to v obou pripadech a u gitu se posilaji jen zmenene soubory.

Co te vedlo k tomu pouzit v dnesni dobe md5 (misto napr. sha2 nebo bcryptu)? Imho pri dnesnich grafikach je prilis rychle spocitatelna a navic je podle nekterych vedcu jen otazkou casu nez se ji podari uplne prolomit (or so I heard).

[Bedňa]

Na vlastnom projekte sa samozrejme veľa naučíš, ale čo tak sa pozrieť na Desura a pomôcť s vývojom? Ja viem je to jednostranné pretože práve túto sieť používam, je naozaj slobodná a príde mi že už aj dosť obľúbená pre ľudí čo nemajú radi veľkého brata.

[skywaker]

no jednym z dovodou je aj nedovera k facebooku predca len ak si to zoberies tak na facebooku ak ho pouzivas mas len blizkych priatelov a na to iste mi moze posluzit aj tento projekt. tych socialnych sieti je kopec a nielen desura a su aj take co su pod GPL licenciou len o nich vela ludi nevie. k pouzitiu md5 len tolko ze to je najschodnejsia cesta teda pouzitie md5 bolo ciste len s toho ze to je lahko implementovane priamo cez php ostatne veci riesim cez ine vlastne funkcie.

radsej by som nejako na projekte zarobil ale nejako nemam skusenosti ako preto som zvolil styl aky som zvolil.

[Jan Mistrik]

kolko ludi to realne pouziva? ty a tvoje druhe ja??? na nahradu facebooku je plno lepsich slobodnych projektov. staci hladat v googli. toto co robis je stracanie casu!!! sa preber a skus nieco uzitocnejsie naprogramovat a na nejakej lepsej grafickej aj programatorskej urovni, nie na urovni ziaka zakladnej skoly.

[Bedňa]

Sha je tiež priamo v PHP, MD5 sa už pár rokov neodporúča používať.

[Asdasdasdad]

"Kde iní končia my len začíname"

[PetrHL]

Hesla ukladat v MD5 je velice spatny napad. Jejich prolomeni je otazkou sekund a nepomuze ani solit. Nekdy staci proste vlozeni hashe do googlu.

[skywaker]

no hesla su sifrovane 2 urovnovo teda 2x, najprv do md5 a potom jednoduchym algoritmom (sym sif.) koli centralnemu heslu takze ak by niekto ziskal obsah databazy mysql tak este musel by ziskat hlavne heslo ale to neviem ako uchovat teda kde zatial je jeho miesto v config.php, subory sifrujem dtripledes co je v php-mcrypt

[Josef Kufner]

Pokud se dostane k zahashovaným heslům, dostane se i k config.php.

Na tohle se používá salt (serveru známý string přilepený k heslu před hashováním) a kryptograficky silný hashovací algoritmus (např. SHA1). Pak totiž útočník nemůže použít rainbow tabulky s předpočítanými hashi a dá mu rekonstrukce hesel mnohem více práce. Nejlepší je ještě přidat salt specifický pro konkrétního uživatele (třeba datum registrace), to znemožňuje použít jednou spočítané hashe se stejným saltem pro jiného uživatele, takže to útočníkovi přidá ještě více práce.

[Jakub Lucký]

silný hashovací algoritmus (např. SHA1).

Taky bejvávalo... (snížili složitost prolomení)

[PetrHL]

Pokud to bude sha1, md5 a podobne, moc prace mu to neprida, stejne je to otazkou sekund. Lepsi je pouzivat bcrypt, lze u nej pomoci parametru nastavit delku trvani hashovani a dalsi. Myslim, ze od verze php 5.5, obsahuje primo vestavene funkce password_hash() a password_verify.

[skywaker]

dakujem toto mi pomohlo. netajim as ze tento kod som pouzil http://hungred.com/useful-information/php-better-hashing-password/

[Jendа]

Jejich prolomeni je otazkou sekund a nepomuze ani solit.

salt="ow6da"
md5(salt||heslo) = 98c5100cd2030fe3b0f2354b4d8e3927

Za prolomení 3 mBTC bounty.

[Josef Kufner]

Dokud nebudeš mít obousměrný a bezešvý konektor k Facebooku, tak s tím nemáš šanci. Stejně tak potřebuješ konektory na Twitter a Google. Pokud chceš oslovit vývojáře, přidej i Github. Všechny tyhle služby mají API a propojení lze vcelku snadno vyřešit.