Шифрование между пользователями веб-сервиса

Question

У меня есть веб-сервис (похожий на интернет-магазин), где пользователи сохраняют свои данные. Мне нужно зашифровать эти данные, чтобы только эти пользователи и сами пользователи могли читать эти данные.

Каждый менеджер и пользователь имеют собственный пароль, хранящийся в базе данных.

Сначала я думал использовать RSA (общедоступные/закрытые ключи), но я не могу понять, как получить доступ к зашифрованным данным, используя разные пароли менеджеров и пользователей.

BTW: я могу предложить пользователю и менеджеру вводить пароль каждый раз, когда они пытаются получить доступ к зашифрованным данным (сравнить с хэшем в базе данных и дешифровать защищенные данные).

Пожалуйста, помогите и извините меня за мой плохой английский. Спасибо заранее!

EDIT: самый простой способ - использовать hardcoded master-password для шифрования/дешифрования, но я считаю, что это очень небезопасно.

EDIT2: хорошо, я думаю, у меня есть идея: 1. генерировать уникальный ключ 2. с использованием симметричных данных шифрования шифровать с уникальным ключом (1) 3. ENCRYPT уникального ключа из (1) с пользователя пароль и сохранить его с учетными данными пользователя 4. зашифровать уникальный ключ из (1) с помощью пароля администратора и сохранить его с учетными данными менеджера

Теперь, когда менеджер хочет получить доступ к данным, я запрашиваю его для пароля, а затем дешифрую хэш из (4), получить уникальный ключ из (1) и дешифровать безопасные данные. дешифрование от пользователя тот же: (3) -> (1) -> данные

так что теперь проблема в том, чтобы сделать его доступным для многократного users-> user_data/менеджеры, лол

EDIT3: забыл упомянуть: пользователи создают данные один раз, а затем менеджеры используют его для внутреннего использования.

Answer 1

Если вы не возражаете против запроса пароля каждый раз, когда пользователю нужен доступ к данным, вы можете использовать модуль php mcrypt. Однако обязательно сделайте свое исследование, прежде чем внедрять что-либо. Это очень легко использовать небезопасно, если вы не будете осторожны.

Answer 2

Я считаю, что вы должны использовать проверенные на практике технологии. Мне кажется, что путь должен быть SSL-соединением и хорошо защищенным сервером. Я считаю, что вам определенно не нужно шифровать данные, а просто предоставлять доступ только для своих владельцев или с помощью некоторой иерархии привилегий (по логике безопасности webservice). Если вам необходимо защитить данные от похищения диска, используйте зашифрованный раздел операционной системой.