DB利用.pptVIP

利用者認証とセキュリティ 今回の方法では、ブラウザから、ウェブサーバに対して、次の２つの情報が渡されます ユーザ名 （暗号化されていない）パスワード 盗聴などの脅威を回避するためには、より強固な工夫をする必要があります ブラウザとウェブサーバ間の通信を SSL/TLS (https) とよばれる暗号利用プロトコルで暗号化する 毎回違うパスワードを利用するような方式に変更する（湾タイムパスワードの利用） ブラウザとウェブサーバのやり取りと状態管理 ブラウザとウェブサーバのやり取りと状態管理とクッキーの利用 cookie-reg.php （クッキー登録）の動作説明 現在時刻（整数値）を time() により取得 現在時刻（整数値）を文字列に変換して、セッションID ($time_str) を生成する それをDBに登録する INSERT INTO customers ( session_id ) VALUES ( $time_str ); （※テーブルはあらかじめ用意しておく必要があります） それをブラウザにも登録する setcookie(session_id, $time_str, time()+3600); 登録した旨のメッセージを表示する * * * * * * * * * * * * * * * * * * * * * * * * ［第12回］プログラミングによるDBの利用(3)-利用者認証とクッキー - 担当 堀良彰 月曜日 ２限 平成１９年度 情報科学III （理系コア科目） * 今回の資料作成には、藤村直美先生（芸術工学部）の ご支援をいただきました。 本日の目標 利用者認証の仕組みを理解する クッキーを利用したセッション継続の仕組みを理解する * 利用者認証 情報システムの利用者の正当性を確認する 確認方法のいろいろ What you know 利用者が持っている知識を使って認証する パスワード、秘密の言葉 What you have 利用者が持っている「もの」を使って認証する トークン、鍵 What you are 利用者自身により認証する バイオメトリクス（指紋、虹彩、指静脈、掌静脈、DNA） * 利用者認証 ウェブサーバの機能を使う方法 ウェブサーバには、あるディレクトリ（フォルダ）に格納したファイルのアクセスのためにユーザ名とパスワードを要求する仕組み（HTTP Basic 認証など）がある 認証機能を PHP MySQL (DB) を使って作りこむ方法 ユーザ毎に異なるサービスを提供できる * 今回はこちらを説明 利用者認証機構の仕様 利用者認証を行うためには、利用者に利用者名とパスワードを入力してもらい、 データベースに登録されているデータと照合する。 パスワードを平文のままデータベースに格納しておくのは問題があるため、暗号化して格納する。 * パスワード格納テーブルの作成 mysql CREATE TABLE users ( - name char(16) NOT NULL, - password char(20), - PRIMARY KEY(name)); Query OK, 0 rows affected (0.01 sec) mysql show fields from users; +----------+----------+------+-----+---------+-------+ | Field | Type | Null | Key | Default | Extra | +----------+----------+------+-----+---------+-------+ | name | char(16) | | PRI | | | | password | char(20) | YES | | NULL | | +----------+----------+------+-----+---------+-------+ 2 rows in set (0.00 sec) * パスワードの暗号化と格納 利用者「fujimura」をパスワード「fujimura_password」として登録するためには以下の文を実行します。 mysql INSERT INTO users (name, password) VALUES (fujimura, PASSWORD(fujimura_password)); Query OK, 1 row affected (0.00 sec) 登録されたデータを表示するとパスワードが暗号化されているのが分かります。