GSJLink

Hallo,

als ihr die Überschrift gelesen habt, habt ihr bestimmt gleich an PHP En- und Decoder gedacht, mit denen man PHP Dateien auf einem Server verschlüsseln kann.

Meine Vorstellung sieht etwas anders aus:

Für ein von mir programmiertes System möchte ich Erweiterungen über ein Zip Archiv weitergeben, damit diese Erweiterungen selbstständig installiert werden können.

Da man mit den in PHP integrierten Extensions keine passwortgeschützten Archive erstellen oder gar auslesen kann, brauche ich eine andere Methode, die Dateien zu schützen. Deshalb habe ich mir gedacht, ich könnte die Dateien verschlüsselt einpacken, verschicken und mein System entpackt die Dateien wieder, entschlüsselt sie und kann sie dann verwenden.

Für mich ist klar, dass Profis eine solche Verschlüsselung relativ leicht knacken können, mir ist es nur wichtig, dass nicht jeder einen Blick in die Dateien werfen kann.

Zur Ver- und Entschlüsselung: Ich habe mir gedacht, dass ich eine Funktion schreibe, die die Datei öffnet, den Inhalt in eine Variable schreibt, diese verschlüsselt und wieder in die Datei hineinschreibt. Dabei möchte ich zur Sicherheit einen Salt verwenden (wird via XML von einem anderen Server geholt).

Wenn ich Dateien (in welchem Format auch immer, .php, .jpg, etc.) in dieser Weise ver- und entschlüssele, funktioniert das mit den genannten Formaten?

Bis jetzt kenne ich in PHP nur Einwegverschlüsselungsfunktionen die einen Salt benutzen. Welche kann ich für mein Vorhaben benutzen?

mfg
Link

__________________
"Ein Script ist nur dann gut, wenn es unabhängig von der verwendeten Plattform funktioniert"

Mister Ad

robo47

was wird denn serverseitig unterstützt und vor allem wie groß werden die Daten, hast du genug executiontime um
1) downloaden
2) entschlüsseln
3) entpacken
4) "das installscript" aufzurufen oder das neue plugin halt ins system einzutragen

wenn es ein v/root/managed-Server ist, besteht z.b. die Möglichkeit 7zip oder rar-Archive (Beide nutzen AES zur Verschlüsselung) zu nutzen die du dann über exec entpacken kannst.

wen du die mcrypt-extension bei php installiert hast, hast du diverse Algorithmen zur Verschlüsselung zur Verfügung.

Wenn nicht, schau dir mal den Thread hier an: Rijndael ohne mcrypt damit hättest du auch einen starken Verschlüsselungsalgorithmus ohne
die lib, zu lasten der Performance dann.

Eine weitere Methode die indirekt eine Verschlüsselung enthält wäre es einfach dass der Update/Plugin-Server über https (SSL) läuft und nur darüber die Updates gesaugt werden können, dann ist die Verbindung bis zum Server verschlüsselt und du kannst ungeschützte Archive (tar, zip, rar, 7z) verwenden.

mfg
robo47

__________________
robo47.net - Blog, Codeschnipsel und mehr
| Caching-Klassen und Opcode Caches in php | Robo47 Components - PHP Library extending Zend Framework

GSJLink

Ein Update-Server, über den die Module zentral übertragen werden, wäre dann ein weiterer Schritt. Lohnt sich allerdings für mich noch nicht wirklich.

Bzgl. der Executiontime: Die ist kein Problem, da man ja nur eine Datei hochläd (ist nur Code, ~50-150kb), danach wird der entpackt und entschlüsselt. Die Installation erfolgt dann in einem extra Schritt.

Ich wäre außerdem gerne unabhängig von der Verfügbarkeit der exec() Funktion.

Die mycrypt-Extension und den Thread werde ich mir einmal anschauen.

Danke für die schnelle Hilfe


mfg
Link

__________________
"Ein Script ist nur dann gut, wenn es unabhängig von der verwendeten Plattform funktioniert"