会社で機密データを暗号化するために PHP mcrypt モジュールを使用しています。これはうまく機能しています。ただし、データを復号化できる新しいマスター パスワードを作成するように求められました。問題は、このマスター パスワードをスクリプト ファイルにハードコードする必要があることです。間違っている場合は修正してください。ただし、唯一の安全な方法は、スクリプトで公開キーをハードコーディングし、それを使用してデータを暗号化し、秘密キーを安全に保ち、必要な場合にのみ復号化することです。
mcrypt には、そのようなスキームの実装がないようです。これを行うライブラリ（PHPモジュールまたは純粋なPHP）を知っている人はいますか？
PHP OpenSSLバインディング、特にopenssl_public_encrypt（）関数を確認することをお勧めします。実際、マスター公開鍵をスクリプトに埋め込んで、スクリプトに各ユーザーのAES鍵をこの公開鍵で暗号化させることができます。会社の対応するマスター秘密鍵を安全に保管してください。
マスター復号化機能が必要な場合は、暗号化されたユーザーキーを取得し、マスター秘密キーを使用して復号化してから、元のデータを復号化します。
そのための PECL 拡張があります。http://us2.php.net/manual/en/book.gnupg.php
非常に高速である必要がない場合は、php から gnupg コマンド ライン ツールを使用することもできます: http://devzone.zend.com/article/1265
どちらの方法も試していません。
このマスターパスワードの要件を確認するために、
encrypt this何かを「封印」するコマンドとしてのみ使用されると予想されますか? decrypt any data」は危険に聞こえますコメントに基づいて更新します。
Rijndael 256キーで暗号化されます
このアプローチは、マスター秘密鍵の所有者による介入を必要とせずに、Rijndael 鍵を持つ個人によるデータへの簡単なアクセスのために機能します。
また、マスター秘密鍵の所有者がデータの機密性を信頼されている場合。
ユーザーがコピーを更新するたびに、スキームはマスター コピーを更新する必要があります (古いものを削除し、新しいものを再暗号化します)。
ただし、ユーザー データがマスターで信頼されている場合 (ここでは明らかにそうです)、
ユーザーがデータに署名する必要がある場合は、プロセスで個別に行うことができます。
二重のコピーを保持して維持する必要がなくなります。
データに署名するために、ユーザーは自分で生成した鍵ペアを持つことができます。
それがどのように機能するかわかりません。双方向の暗号化機能は、暗号化に使用される特定のパスワードが提供された場合にのみ復号化されます (NSA であり、アルゴリズムにバックドアを設置しない限り)。2 つのパスワードで同じファイルを復号化することはできません (ハッシュの衝突がない限り、しかし、それは簡単に実現できるものではありません)。
マスターパスワードをプログラムに保存する限り、プログラムが読み込む別のファイルに保存する方がはるかに良いでしょう。そうすれば、そのファイルでより厳しい OS レベルのセキュリティを使用できます。
mcrypt は公開鍵暗号ではないことに注意してください。ただし、公開鍵暗号化を使用すると、やりたいことを実行できる場合があります。たとえば、PGP/GPG を使用すると、3 人の異なるユーザーが互いの秘密鍵を知らなくても、秘密鍵を使用してファイルを復号化できるようにファイルを暗号化できます。したがって、すべてを復号化できるマスターパスワードを持つ仮想ユーザーを持つことができます。
もう 1 つのオプションは、暗号化されたすべてのデータの 2 つのコピーを保持することです。1 つはユーザーのパスワードで暗号化され、もう 1 つはマスター パスワードで暗号化されます。