Indtast NAVN+PW validering

Nu skriver jeg i starten \"...2 (eller flere) form-bokse)...\" - der skal bare arbejdes med de 2, brugernavn og password. Det er fint!

<!DOCTYPE HTML PUBLIC \"-//W3C//DTD HTML 4.0 Transitional//EN\">

<html>
<head>
    <title>Untitled</title>
    <SCRIPT LANGUAGE=\"JavaScript\" TYPE=\"text/javascript\">
  <!--
  function validateForm( form ){
      var username = form.username.value;
        var password = form.password.value;
        var errCount = 0;
        if( username != \"viggo\" ){
      location.href=\"c.html\";
        }
        if( password != \"turbo\" ){
      location.href=\"d.html\";
        }
        location.href=\"b.html\";
    }
  //-->
  </SCRIPT>
</head>

<body>
<form onsubmit=\"return validateForm( this );\">
username: <input type=\"Text\" name=\"username\"><br>
password: <input type=\"Text\" name=\"password\"><br>
<input type=\"submit\">
</form>


</body>
</html>

/nute

hmm, er det ikke kun idioter det gemmer login, password i et javascript ??

Højreklik --> vis kilde = Se login og password  !!

_codeb@se.dk

codebase >> yup...men jeg ville for en gang skyld prøve å la være med å være moraliserende ;-)

>>> Jo, jeg er jo bare et lokum... *G*
- nej, det skal bruges til en design-prototype som naturligvis ikke er til \"virkeligheden\" men som skal vise designet og fordi der skal logges ind på sitet, så skal denne funktion jo også med, trods det at prototypen ikke skal programmeres i PHP endnu. Thats why.

Tak for svaret, afprøver... *SS*

.... hvorfor så ikke bare en par trykknap, hvor der står LOG IND(fejl), og en der står LOG IND (ok)


det giver jo det samme (en gang junk)

_codeb@se.dk

... og hvorfor give 100 points, for noget DU siger kun er til en prototype *GGG* ???

codebase >> hvis han haar lyst til å skrive sin prototype på den måte, så bør han da få lov til det uten at noen stiller spørsmål ved hvordan \"prototype-oppgaven\" er løst. du ville gjerne gjort det på en annen måte, og jeg ville helt sikkert ha gjort det på en tredje måte...Prototyper skal bare skissere virkemåte, men man kan da lage 1000 prototyper til samme system...

/nute

og om det er en prototype eller \"fullversjon\" av et system har da overhodet *ingenting* med poengsum å gjøre...

.. hmm, nu har kigget lidt på din profil, her på eksperten...

Jeh har ikke kunne finde et eneste spg. som indholder noget PHP kode, som du har deltaget i, så er det ikke bare fordi, du ikke ved en skid om PHP, at du vil lave det i et javascript ??

Alternativt kunne du skrive disse få liner kode, og så ville du have et skjult login / password system:

login.php
<?
if ($username ==\"brugernavn\" && $password=\"php4cute\")
{
  session_start();
  session_register(\"passwd\");
  $GLOBALS[\'passwd\'] = $password;
header(\"Location: sikkerside.php\"); 
}
else
{
echo \" Forkert brugernavn eller password!\";
}
?>


og på din(e) sikre sider starter du med:
sikkerside.php
<?
session_start();
if (!$passwd =\"php4cute\") header(\"location: login.php\");
else echo\" tillykke du er nu inde i systemet\";
?>

_codeb@se.dk

og det skulle være et svar !

>>> nute, jeg kan ikke få scriptet til at \"reagere\", måske fordi det sidder i en html-side i et frameset? Ligegyldigt hvad jeg skriver i input-bokse, så henter den ikke en ny side...(b,c eller d) ?? (Jeg HAR copy og pastet det rigtigt... (: )

>>> codebase, tak for dit engagement.

>> nute - Måske fordi der skal en target=\"_self\" ind el.lign. ??

<form onsubmit=\"return validateForm( this );\">

skal vel være
<form action=\"get\" onsubmit=\"return validateForm( this );\">


_codeb@se.dk

action=\"filnavnet.htm\" metode=\"get\" .... sorry :-)

>>>codebase. Yes, nu sker der noget. Men det skal ikke være \"this\", det skal være hele browser-vinduet der opdateres... hvad skal this så erstattes med? *S*

>>>codebase, der kan da ikke stå  action=\"filnavnet.htm\" metode=\"get\" når selve scriptet i <head>\'en skal vælge imellem 3 forskellige ?? Eller hvad??

prøv så denne:

<!DOCTYPE HTML PUBLIC \"-//W3C//DTD HTML 4.0 Transitional//EN\">

<html>
<head>
    <title>Untitled</title>
    <SCRIPT LANGUAGE=\"JavaScript\" TYPE=\"text/javascript\">
  <!--
  function validateForm( form ){
      var username = form.username.value;
        var password = form.password.value;
        var errCount = 0;
        if( username != \"viggo\" ){
          top.location.href=\"c.html\";
        }
        if( password != \"turbo\" ){
          top.location.href=\"d.html\";
        }
        top.location.href=\"http://www.vg.no\";
    }
  //-->
  </SCRIPT>
</head>

<body>
<form>
username: <input type=\"Text\" name=\"username\"><br>
password: <input type=\"Text\" name=\"password\"><br>
<input type=\"button\" onclick=\"validateForm( this.form );\">
</form>


</body>
</html>

/nute

Altså 3 forskellige .html-filer...

joo, filen skal jo loade sig selv, og validere på dine variabler... !

>>>nute, nu virker det, bortset fra at den godkender ALT - dvs. linker til b.html, og den viser den i framesettet, det skal helst være hele browservinduet som opdateres efter validering. *S*

>>>codebase. Okay, men hvilken .html fil skal jeg så skrive navnet på i din action=\"filnavnet.htm\" metode=\"get\"  ?? (a, b, c eller d??)

Jeg smutter lige for en tid... *S*

oki...det var noen smuttere :)

<!DOCTYPE HTML PUBLIC \"-//W3C//DTD HTML 4.0 Transitional//EN\">

<html>
<head>
    <title>Untitled</title>
    <SCRIPT LANGUAGE=\"JavaScript\" TYPE=\"text/javascript\">
  <!--
  function validateForm( form ){
      var username = form.username.value;
        var password = form.password.value;
        var errCount = 0;
        if( username != \"viggo\" ){
          top.location.href=\"c.html\";
        } else if( password != \"turbo\" ){
          top.location.href=\"d.html\";
        } else {
            top.location.href=\"b.html\";
                }
    }
  //-->
  </SCRIPT>
</head>

<body>
<form>
username: <input type=\"Text\" name=\"username\"><br>
password: <input type=\"Text\" name=\"password\"><br>
<input type=\"button\" onclick=\"validateForm( this.form );\">
</form>
</body>
</html>

/nute

JavaScript brugernavn/kode kan være GANSKE sikkert - I er f.eks. velkomne til at prøve at knække denne lille nød jeg sammensatte til lejligheden:

  http://ekspert.coder.dk/jskode/

:)

coderdk >> ordene \'GANSKE sikkert\' i ditt innlegg, kan byttes ut med \'relativt sikkert hvis brukeren ikke kjenner til noe koding\'. man legger jo all sin kode med på sidene, så det er jo ingen problem for dem som ønsker  å finne ut av det.

Dessuten....det å skrive ordene sikkerhet og javascript i samme setning er temmelig morsomt. *ingenting* er sikkert med å bruke javascript

/nute

nute> Jeg er sikker på at du kan lave et username/password scheme der er så sikkert at du ikke ville kunne bryde den i din levetid, så det må da vel være sikkert nok? Specielt hvis det bare er til at beskytte en persons private interface til at skrive nyheder på deres forside. Alt er relativt ;)
Jeg inviterer dig stadig til at bryde den jeg har sat sammen. Så kan du jo beskrive hvor morsomt du synes det er ;) *G*

..)

problemet er at enhver idiot har tilgang til implementasjonen av algoritmen som scrambler username/pass. det *er* ikke sikkert uansett hvordan du vender det. sikkert er det først når implementsjonen er skjult for brukeren.

nute> Der tager du HELT fejl! Det du siger er, at SSL, PGP og GPG er usikre!

Download source koden til OpenSSL: http://www.openssl.org/source/
Download souce koden til PGP: http://www.pgpi.org/products/pgp/versions/freeware/unix/6.5.8/
Download source koden til GPG: http://www.gnupg.org/download.html

:p

nei, det sier jeg ikke. man kan ikke sammenligne ren javascript med SSL, PGP eller GPG.

det eneste jeg skriver er at det er *INGEN* sikkerhet i javascript overhodet. Og heller ikke det du har postet. jeg har tilgang til alle metodene du bruker for å validere mitt input...det er ikke en brikke som ligger gjemt på min computer (den brikke man benytter ved pgp.) Hvis jeg bruker tid nok, så kan jeg reversere dine algoritmer og vupti, adgang er gitt...

/nute

Du har ret i at javascript er skod, men jeg vil stadig gerne se dig få adgang til den beskyttede side ;)

det ville da jeg også, for så hadde jeg helt sikkert lært en hel masse. P.t. har jeg ikke kunnskapene ( eller tiden ) til det, men jeg kjenner et par stykker som helt sikkert kunne knekke nøtten.

jeg ville bare fram til at det ikke er sikkert *uansett* hvor mye du prøver...

/nute

nute> Jeg er ikke enig. Spørgsmålet er: Er det sikkert nok til FORMÅLET?

\"men jeg kjenner et par stykker som helt sikkert kunne knekke nøtten\"

Det er jeg ikke sikker på.

coderdk >> nåja...så kommer det plutselig enda et nytt parameter inn i diskusjonen om sikkerhet...\'formål\'. Hvis det er en kjennsgjerning at det er en fabrikasjonsfeil i utløseren til airbaggen på den nyeste Volvo modellen, så er bilen/modellen fremdeles usikker selv om man kun kjører i 30km/t. Men man kan stadig være uheldig nok å miste livet selv om man kræsjer i denne lave hastighet. Formål er en helt annen diskusjon enn sikkerhet ( i mine øyne i hvertfall ).

\"Det er jeg ikke sikker på\"...hmmmm...begynner du så å betvile kompetansen til mine bekjente ?? uten å engang vite hvem *jeg* er...uforståelig...

/nute

nute> Jeg har hele tiden været enig i at js er en dårlig måde at gøre det på. Det skal selvfølgelig ske over en SSL forbindelse hvis det skal ske overhovedet.

Desuden er det forkert at sige at der *INGEN* sikkerhed er - der *ER* sikkerhed i javascript, den er bare ikke specielt god.

Hvis du kigger på det jeg har lavet, ville du se at jeg bruger SHA1-digest til at kryptere passwordet - det har ikke noget at gøre med javscript usikkerhed - det er mere sikkert end NT (md4) og UNIX passwords (md4 eller 5 så vidt jeg ved).
SHA1 er sikker uanset i hvilket sprog den er implementeret.

Det eneste angreb der er imod SHA1 er brute force. Man skal ikke være specielt kompetent for at lave et brute force attack.

ARCFOUR (eller Alleged RC4 - kompatibel med RSA\'s RC4) som jeg bruger til at kryptere destinationssiden er så vidt jeg ved \"sikker nok\". Men møglen jeg benytter er SHA1-hashen af passwordet.

For at få passwordet skal du knække SHA1 - Held og lykke til dig og dine venner ;-)

Ok, det var bare en diskussion, håber ikke du tog mig for alvorligt ;)

\"håber ikke du tog mig for alvorligt\"...jammen selvfølgelig tar jeg deg alvorlig ;-) hvis ikke så hadde det ikke blitt en diskusjon ut av det :)

men jeg håper ikke jeg har fått deg til å tro at jeg vil prøve å knekke den...det skrev jeg allerede tidlig at det kan jeg ikke :-)

/nute