Имеем 1С конфигурацию (самонаписанную) по дисконтной программе.
У клиентов есть именные карточки идентификаторами(штрих-код).накапливаются баллы просто по штрих-коду и чеку, а вот при получении товара(бесплатно) за накопленные ранее баллы, клиент должен ввести пин код (или пароль) на выдаваемой ему клавиатуре.

Сейчас возникла проблема с безопасностью этих пин-кодов (немного намухляли продавцы) - они так или иначе узнали из базы данных эти пин-коды (именно из базы) - как узнали - это вопрос не этой темы.

Вопрос: Направте на путь истинный - как обезопасить себя, куда копать, что-бы и пин-коды хранились в базе (в базе?) и были в зашифрованном виде. Где-то так. Как все организовать и чем воспользоваться?

Спасибо.

шифровать через md5, в базе хранить только хэш от md5, при вводе клиентом пин кода, шифровать в md5 и сравнивать с имеющимся хэшем в базе.

послать в википедию читать про md5-хеши?

(1) главное в md5-хешах — хорошо посолить!

Говорят, md5 уже давным-давно не тру...

думаю что как защита от продавцов - вполне сойдет

не хранить пин коды в базе, а сделать проверочный веб-сервис

А если без разпальцовок, кто-то реально работал с хэшами через механизмы криптографии 1С? Сам не углублялся ибо задачи не было, но ни одной саксесс-стори на форуме не припомню...

Хотя вот пролистал эти несчастные странички руководства разработчика, посвященные механизмам криптографии - вроде никаких проблем возникнуть не должно...
Какие там подводные камни, кто в курсе? Небось как всегда - какие-то танцы с бубнами вокруг самоподписанных сертификатов?

А в 8-ке есть свои алгоритмы шифрования MД5 - или прикручивать внешнее?

(0) в 1с77 делал нечто подобное в справочнике хранил пароли в шифрованном виде шифратор и дешифратор как обработка и простой юзер не мог подглядеть....

pass = string(pin)+string(shtrihkod); //пин и штрихкод карты
md5pass = md5(pass); //шифруем
md5pass_salt = md5pass + "salt_as_text"; //подмешиваем соль
2md5pass = md5(md5pass_salt); //и снова шифруем

2md5pass храним в базе и сравниваем при вводе с клавиатуры.

Минус решения: при доступе к алгоритму (например, доступна конфигурация) - продавцы смогут уворовать механизм. Знаю алгоритм и соль, раскрутят. А учитывая, что пин находится в диапазоне от 0000 до 9999, и знаю кодировку штрихкодов (там же наверняка число обычные определенного формата из серии 4279 0000 0000 0000 или даже попроще) - смогут нагенерить заранее паролей
в диапазоне в табличку рэйнбоу или даже в самую простую таблицу sql и мгновенно получить все пароли. :)

(11) * знаю = зная

(11) Да.. ты прав.. какого хера они продавцами работают.. не пойму..

100%й выход - не хранить пин коды в базе. а получили они из Табло, наверное...

(11) Чорд! Если доступна конфа и база, то ни соли ни вообще ничего не надо знать. Пины элементарно подбираются тупым брутфорсом...

(15) а с внешним сервисом можно поставить таймаут 20 секунд - зашибешься брутфорсить

capicom.dll от майкрософт работает только на 32-битных системах? А что тогда для 64?

(16) Согласен. Я за внешний сервис. :)
Только интернет нужен, вот печалька. ))

(18) Ну, это может быть интранет-сервис...

а Base64 никак не спасает?

Base64  - сейчас сижу и думаю, как что-бы запутать мозги "умникам"..... но таки думается мне написать свою собственную ДЛЛ-ку будет надежнее.

проблема в том, что они могут опять получить доступ к конфигурации... я ведь не знаю, махлюют они сами или администраторы помогают

(17) + А, кстати, да - я так и не понял, 1С только с модулями КриптоПРО может работать? Или еще с чем?

http://wiki.kint.ru/index.php/Использование_средств_шифрования_.Net_из_1С
ну вот ещё использовать можно для усложнения жизни (с таймаутом).

(21) Ну, уже сказали. От админов спасет только отдельный сервис, им не подконтрольный. С защитой от брутфорса, блокировкой и сигнализацией при попытках такового. Ибо даже при 20-секундных паузах четырехзначные пины - это несерьезно.

(0) Через 3-5 попыток подбора блокировать не предлагали?
А использовать в качестве пина первые/последние цифры из уина ?
а фиксировать факт ввода и фамилию продавца из под аккаунты которого произошла блокировка?
кто хочет - тут сломает - поймайте и при людно "ПОРОТЬ".