Chiffrer un champ en base de données depuis un module personnalisé

Olivier77 · Janvier 23, 2024, 6:35

Bonjour,

Pour raison de sécurité et de confidentialité, j’ai besoin de chiffrer le contenu d’un champ en base de données (sous le même principe qu’un mot de passe).
J’ai cherché un peu partout, mais je n’arrive pas à comprendre le mécanisme d’enregistrement ou mise à jours des informations en base de données pour chiffrer ce fameux champ.

Est ce qu’une personne pourrait m’aider ?

je remercies par avance pour votre retour,

hop · Janvier 23, 2024, 6:42

Bonjour,

Le chiffrement du mot de passe est effectué avec la fonction dol_hash qui utilise la fonction dédiée php password_hash

Attention, ce n’est pas réversible, une fois chiffré vous ne pouvez pas retrouver la donnée qui a été chiffrée.

dol_hash est définie dans ce fichier

github.com

Dolibarr/dolibarr/blob/4e8d0cc6769cc97355e84b8e4edb6d99b205a9e4/htdocs/core/lib/security.lib.php#L236


      
          *  If constant MAIN_SECURITY_HASH_ALGO is defined, we use this function as hashing function (recommended value is 'password_hash')
          *  If constant MAIN_SECURITY_SALT is defined, we use it as a salt (used only if hashing algorithm is something else than 'password_hash').
          *
          * 	@param 		string		$chain		String to hash
          * 	@param		string		$type		Type of hash ('0':auto will use MAIN_SECURITY_HASH_ALGO else md5, '1':sha1, '2':sha1+md5, '3':md5, '4': for OpenLdap, '5':sha256, '6':password_hash).
          * 										Use 'md5' if hash is not needed for security purpose. For security need, prefer 'auto'.
          * 	@param 		int 		$nosalt		Do not include any salt
          * 	@return		string					Hash of string
          *  @see getRandomPassword(), dol_verifyHash()
          */
          function dol_hash($chain, $type = '0', $nosalt = 0)
          {
          	// No need to add salt for password_hash
          	if (($type == '0' || $type == 'auto') && getDolGlobalString('MAIN_SECURITY_HASH_ALGO') && getDolGlobalString('MAIN_SECURITY_HASH_ALGO') == 'password_hash' && function_exists('password_hash')) {
          		return password_hash($chain, PASSWORD_DEFAULT);
          	}
          
          	// Salt value
          	if (getDolGlobalString('MAIN_SECURITY_SALT') && $type != '4' && $type !== 'openldap' && empty($nosalt)) {
          		$chain = getDolGlobalString('MAIN_SECURITY_SALT') . $chain;
          	}

Olivier77 · Janvier 23, 2024, 9:41

Bonjour Hop,

Merci pour votre retour.
Donc l’utilisation du dol_hash, ne correspond pas à mon besoin.
J’ai besoin de relire la donnée dans d’autre script.

Par contre, comment est appelé la fonction dol_hash sur un module personnalisé ? je n’ai pas vu dans le code l’appel au moment de l’enregistrement.

hop · Janvier 23, 2024, 10:17

Pour le password dol_hash est appelé ici

github.com

Dolibarr/dolibarr/blob/28b3e656a92a4855cec2b25ee4a47a10c830f3f1/htdocs/user/class/user.class.php#L2371


      
          					$testpassword = $modGeneratePass->validatePassword($password);
          					if (!$testpassword) {
          						$this->error = $modGeneratePass->error;
          						return -1;
          					}
          				}
          			}
          
          
          			// Now, we encrypt the new password
          			$password_crypted = dol_hash($password);
          		}
          
          		// Update password
          		if (!$changelater) {
          			if (!is_object($this->oldcopy)) {
          				$this->oldcopy = clone $this;
          			}
          
          			$this->db->begin();

Si vous voulez pouvoir déchiffrer à nouveau vos données il y a les fonctions dolEncrypt et dolDecrypt dans le fichier security.lib.php

Personnellement dans ce cas de figure je préfère utiliser age qui permet de chiffrer avec une ou plusieurs clés publiques.

Olivier77 · Janvier 23, 2024, 11:03

hop,

Merci pour cette précision.

Mais cela ne répond pas totalement à ma question. Dans le cas de la création d’un module personnalisé, à quel endroit, il faut envoyer l’instruction de de Dol_hash ou dolencrypt ? Je j’ai regarder myobjet_card, je vois bien un champ caché pour action « add » ou « update », mais je n’arrive pas à trouver l’action effectué pour ces 2 actions. Si j’ai bien compris le principe, cela serait à ce moment là que je devrais faire mon chiffrement. non ?

hop · Janvier 23, 2024, 11:23

Il faut chiffrer avant d’enregistrer la valeur en BDD, et déchiffrer à la lecture.

Faites une recherche sur dolEncrypt et dolDecrypt dans le code source pour voir comment c’est utilisé

Philazerty · Janvier 23, 2024, 12:07

Bonjour
Quel est le type de données ?
Quel intérêt de chiffrer dans la base de données ? Si piratage de votre Dolibarr alors forte chance pour que la clef a fuite.
Attention aussi au pb déchiffrement rechiffrement en cas de migration.
@+

Olivier77 · Janvier 23, 2024, 4:44

Merci pour les pistes.

Olivier77 · Janvier 23, 2024, 4:52

La donnée est des mots de passe, que j’ai besoin pour des scripts pour des connexions en API chez des fournisseurs.
Cela va me permettre d’automatiser la lecteur d’information pour remplir des champs dans Dolibarr.
Les mots passe étant stocké en base de données, je souhaiterais les chiffrer pour ne pas les stocker en clair.
Les mots de passe ne sont pas « visibles directement » depuis le module, le champ est du type « password » et je ne vais pas faire de bouton pour le montrer.

Si vous avez une meilleur préconisation, je suis preneur.
Cela me fait réagir sur une chose:

Sur Dolistore, il est des modules sur la gestion des mots de passe. cela a donc un non sens ?
Pour la partir OAuth, les mots de passes de connexion y sont stockés. Là aussi, c’est un non sens ?

hop · Janvier 23, 2024, 5:35

Je gère ce type de données sensibles avec agenix qui utilise age cité plus haut.

Pour simplifier : la donnée secrète est chiffrée avec la clé ssh publique du user sous lequel tourne phpfpm et ma propre clé publique.
Ensuite seul moi même et le user « phpfpm » sur le serveur peuvent déchiffrer la donnée.
Avec agenix on récupère la donnée en clair en lisant le contenu de /var/run/agenix/quelquechose à lire depuis un script php par exemple.
Chaque pool phpfpm tourne avec un user différent, une application php ne peut donc pas lire les données secrètes d’une autre application installée sur le même serveur.

Olivier77 · Janvier 23, 2024, 7:01

Merci Hop pour ces précisions

Et encore merci pour la piste, j’ai compris le fonctionnement et comment mettre en place dolEncrypt.

Je vais maintenant me poser un peu et regarder agenix et age.

Encore merci.