Sicherheit der Verbindungsdaten

[Flori]

Hallo zusammen,

ich plane demnächst auf meiner HP einige Datenbankabfragen in Verbindung mit

PHP & MySQL einzurichten.

Um eine Verbindung zur Datenbank zu ermöglichen, muß ich ja die Verbindungsdaten wie Hostname, User, Passwort, DB-Name über die Funktion mysql_connect() übergeben.

Ich würde gerne diese Verbindungsdaten in einer Datei wie z.B. "connect.cfg" auf dem Webserver speichern und dann diese in meine entsprechenden PHP-Skripte einbinden über "include".

Meine Frage richtet sich jetzt an die Sicherheit der Verbindungsdaten. Wie kann ich diese Daten in der Datei möglichst sicher auf dem Webserver halten? Möglichst tief in den Verzeichnissen "vergraben" ? Oder kann man da noch was verschlüsseln? Wie handhabt ihr die Speicherung Eurer Verbindungsdaten zu Datenbanken bei Euch auf dem Webserver?

Im Voraus für hilfreiche Tipps vielen Dank!

Gruss

Flo

[kills]

einfach in ein php script so rein:

mysql_connect( "...", "...",......);

[/PHP]

php scripts können ohne besondere änderungen am webserver nicht heruntergeladen werden ( ausser ftp zugang).

wenn du natürlich eine dateiendung wählst womit der webserver nicht weiss, was er damit machen soll, wird er die datei zum download anbieten! deshalb am besten einfach ein config.php file!

notfalls wenn du angst hast, kannste ja noch mit htaccess nen password auf das cfg verzeichnis legen

[robotto7831a]

Hallo,

die Idee mit der Extradatei ist nicht schlecht. Ich nenne diese Dateien immer config.inc.php. Auch wenn jemand die Seite dann direkt aufruft, dann wird der Inhalt nicht angezeigt. Da es ja keine PHP Anweisungen sind.

Frank

[Flori]

Danke für die Ratschläge,

hatte ich mir so noch keine Gedanken drüber gemacht. Wichtig ist demnach also wirklich nur die richtige Dateiendung ".php", so daß wie ihr schon beschrieben habt, die Datei nicht zum Download angeboten oder vom Browser angezeigt wird.

Sobald ich versuche eine "config.php" zu speichern, wird ja bereits das php interpretiert und lediglich eine (leere) html-Datei gespeichert.

So bin ich dann recht einfach auf der sicheren Seite.

Flo

[Jaraz]

Hi,

erstens ist es schon besser die Daten in eine extra Datei auszulagern.

Zweitens gehört diese Datei ausserhalb des Document Root Verzeichnisses, sodaß sie nicht von außen aufgerufen werden kann.

Sonst kann es bei Fehlkonfiguration oder einem PHP Update temporär zur Anzeige von diesen Daten kommen.

Alles schon gesehen.

Gruß Jaraz

[Flori]

Original geschrieben von Jaraz

Hi,

...

Zweitens gehört diese Datei ausserhalb des Document Root Verzeichnisses, sodaß sie nicht von außen aufgerufen werden kann.

...

Diese Möglichkeit entfällt aber bei Dateien, die bei einem Webhoster auf dessen Servern abgelegt werden?! Oder sehe ich das falsch? Da habe ich doch nur meinen einen Zweig, in dem ich zwar beliebig viele Verzeichnisse anlegen, aber nich aus dem Zweig nach "oben" herauskomme.

Diese Datei außerhalb des Document Root zu packen hätte ich demnach nach nur, wenn ich vollen Zugriff auf die Konfiguration des Webservers hätte?!

Flo

[Jaraz]

Hi,

ich habe unter anderem Webspace bei www.einsweb.de und www.1und1.de und bei beiden ist das Webspace Verzeichnis nicht das www Root.

Das www Root ist jeweils ein Unterordner, bei einsweb heißt der auch www, wie der bei 1und1 heißt weiß ich aus dem Kopf nicht.

Außerhalb des Dokument Roots liegen zum Beispiel auch Mailing Listen conf Dateien und log files.

Webspace der nur ein nach außen offene Verzeichnis bietet, würde ich nicht nehmen.

Gruß Jaraz

[Spike]

Meine Domains bei 1und1 haben nur das Doc Root wenn ich per FTP connecte.

Muss man da was freischalten?

[Flori]

Original geschrieben von Jaraz

Hi,

...

Das www Root ist jeweils ein Unterordner, bei einsweb heißt der auch www, wie der bei 1und1 heißt weiß ich aus dem Kopf nicht.

Außerhalb des Dokument Roots liegen zum Beispiel auch Mailing Listen conf Dateien und log files.

Webspace der nur ein nach außen offene Verzeichnis bietet, würde ich nicht nehmen.

Gruß Jaraz

Ich komme zwar beim ftp-login eine Ebene oberhalb meines www-Verzeichnisses aus, aber leider hab ich dort wie es scheint keine Rechte eigene Verzeichnisse anzulegen. Also bleibt mir nur innerhalb des "www" die Möglichkeit,womit ich ja aber wieder im Doc-Root wäre.

Demnach vielleicht noch ein Grund mehr (es gibt eh schon ein paar), den Webhoster zu wechseln...

(Mir ist aber die von dir beschriebene Verzeichnis-Struktur von einem anderen Webhoster bekannt. Dort werde ich auch nochmal schauen, ob ich da die Dateien so ablegen kann wie von dir beschrieben)

Danke nochmal,

Flo