Как использовать шифрование в Laravel?

Question

[Дмитрий]

Изучаю Laravel
https://laravel.com/docs/5.7/encryption
В принципе все легко и понятно, как зашифровать данные и сохранить их потом в БД зашифрованными.
То есть злоумышленник, заполучив доступ к сайту автоматом получает и ключ шифрования, лежащий в .env.

Тогда мне не понятно смысл использовать шифрование, если ключ тупо хранится в файле .env?

Я ищу способ безопасно хранить данные в mysql используя Laravel. Рассматриваю вариант с раздельным хранением сайта на одном сервере, а БД - на сервере. Но в этой схеме есть проблема, описанная выше, когда злоумышленник получает доступ к серверу с сайтом (и уже оттуда может вытащить данные с сервера с БД)

Answer 1

[Александр Аксентьев]

Смысл только в том случае, если слили базу через какую-нибудь дыру, которая не позволяет залезть на сайт в целом.

Если залезли на сайт с головой, то уже ничего не поможет. Нет такого волшебного способа чтоб сайт работал с базой, но если что в базу не залезть.

Comments

[Дмитрий]

Согласен с вами. Спасибо.

рассматриваю вариант шифрования нужных мне полей с помощью AES256 и хранить ключ у меня. И при аутентификации на сайте вводить ключ расшифровки.

[Александр Шаповал]

Дмитрий, злоумышленники получив доступ к сайту получат доступ и к вашему ключу через ваш же сайт)

[Дмитрий]

Александр Шаповал, как? если этот ключ ввожу при входе на сайт и нигде он и не хранится на сервере? Ну конечно если только я не буду знать о взломе а они будут сохранять входящие данные

[Александр Шаповал]

Дмитрий, при входе на сайт, сайт будет отсылать запрос на получение ключа. Злоумышленники так и сделают, отправят этот запрос.
Но этом нужно им знать структуру, и вообще о его существовании ключа этого, но суть в том что это сделать можно имея полный доступ к серверу.

Answer 2

[Alex Wells]

Потому что нужно читать правильный раздел: https://laravel.com/docs/5.7/hashing

Это то, что нужно использовать для паролей, к примеру. Одностороннее хэширования, которое не позволяет восстановить исходные данные никак и никому.