Хранение нехешированных паролей в базе данных

Question

[mysticmirage]

Понадобилось хранить пароли пользователей в базе данных.
Пароль нужен для аутентификации на стороннем сервисе, по этому хеширование не подходит.
Подскажите, как это лучше сделать?

Answer 1

[Vas3K]

1) Хранить session_token'ы, если конечно сторонний сервис работает через OAuth.
2) Если нет — шифровать с ключем. Ключ хранить у себя глубоко. Так что если уведут БД, без ключа не расшифруют.

Comments

[mysticmirage]

Токены есть. Но боюсь (паранойя?), что токены тоже могут увести и работать с данными пользователей через них.

[Vas3K]

Токен во-первых не пароль, который некоторые любят ставить везде один, а так как email у вас точно хранится, злоумышленник получает доступ ко всему добру пользователя. Во-вторых когда вы обнаружите взлом, можно просто послать вашему сервису команду «обнули токены» и все. Это быстрее, чем потом объяснять пользователям, что им надо менять все пароли, и последствий почти не будет.

Answer 2

[Albertum]

Храните в зашифрованном виде (симметрично или ассиметрично).
Ключ шифрования берегите.
Перед использованием расшифровывайте.