FTP- und Datenbank Passwörter verschlüsselt in Datenbank speichern

***igi*** · 27.02.2018, 08:34

Hallo zusammen,

ich habe eine Klasse in einem Contao (3.5) Modul, welche eine Verbindung zu einem FTP-Server und einer externen Datenbank aufbaut.
Die Zugangsdaten hierfür lassen sich im Backend in einem Einstellungs-Dialog definieren und werden anschließend in der (internen) Contao-Datenbank gespeichert.
Soll also später eine Verbindung zu dem FTP-Server oder der externen Datenbank aufgebaut werden, werden die Zugangsdaten hierfür aus den hinterlegten Feldern bezogen.

Im Moment werden diese Informationen unverschlüsselt im Klartext gespeichert, was ich als etwas ungünstig erachte.
Gibt es eine Möglichkeit, diese auf eine sichere Weise zu speichern? Das Problem ist, dass wenn ich diese über eine Hash-Funktion verschlüsseln würde (one-way), würde der FTP Server die Benutzerdaten natürlich später als ungültig abweisen.

Contao speichert Datenbank- und SMTP Informationen ja ebenfalls im Klartext in der localconfig.php. Ich frage mich, ob es aus Sicht der Sicherheit einen Unterschied macht, empfindliche Daten im Klartext in einer solchen PHP Datei oder eben direkt in der Datenbank zu speichern. Im Regelfall sollte natürlich kein Dritter Einblick in beide Varianten haben.

Ich bin jedenfalls dankbar für erhellende Worte

**Ainschy** · 27.02.2018, 08:43

Vereinfacht ausgedrückt: Wer FTP Zugang hat kommt auch an alle anderen Daten heran.

Der zusätzliche Aufwand für eine sichere Verschlüsselung der Daten ist nicht zu unterschätzen.

***igi*** · 27.02.2018, 09:46

Korrekt, das sehe ich genauso.
Grundsätzlich wird auch alles über FTPS und SSL übertragen. Ich benötigte nur eine geeignete Möglichkeit, um die unterschiedlichen Zugangsdaten für das Skript bzw. die Klasse bereitzuhalten.

**Ainschy** · 27.02.2018, 10:33

Du kannst verschiedene Methode einsetzen um die Daten zu verschlüssel.

Schau dir doch mal diesen Beitrag an. Vllt. hilft er dir weiter: https://www.a-coding-project.de/ratg...entschluesseln

***igi*** · 27.02.2018, 12:16

Danke für den Link. Mcrypt ist laut php.net deprecated, aber es gibt natürlich noch weitere Verschlüsselungsmechanismen.
Ich gucke mir das nochmal im Detail an. Ich hatte mich halt nur gefragt, ob es da noch eine andere Methode gibt (vielleicht sogar Contao intern), um solche Werte vorzuhalten ohne komplexere Verschlüsselungsmechanismen zu integrieren.