Sikkerhed på logon og videre i systemet

1. md5 er envejs-kryptering - så vidt jeg ved kan flere værdier give anledning til samme md5-checksum, så den kan ikke entydigt dekrypteres og kun ved brute-force attack... = sygeligt mange års arbejde...

2. Hvad hvis man ikke logger af?

3. Overføres username+password fra klient til server i krypteret eller plain-text format? Er dit script + database sikret, så man ikke kan finde en bagdør og eksempelvis rydde databasen for usernames og passwords?

1.: md5 er ikke en egentlig kryptering, det er en envejs encoding og kan ikke dekrypteres så vidt jeg er orienteret.

Mente nok der var et spm der handlede om noget af det samme...

http://www.eksperten.dk/spm/357801

Når man logger af nulstilles cookien og et nyt nummer sættes ind, så en evt. kopiering af cookien vil ikke hjælpe så længe man logger af

Når der logges på sendes passwordet som sådan et nu gør, (hvis man kan "kryptere" passwordet fra klientsiden vil jeg gerne høre mere) der "krypteres" det med md5, og chekkes om det er magen til det i databasen (alle kodeord i databasen er krypterede).

Den eneste bagdør der komme, som jeg kan se er hvis du kan lave en ny post uden username og password, men da jeg helst skulle være den eneste der kan komme til at lave sådan noget skulle det ikke være noget problem (nb. når bruger oprettes cheker scriptet at man ikke laver tomt password)

exp>> Nu havde tipsen egentlig svaret på det, og før, du får lidt pts. for det, men tipsen får mere :-(

Normalt overfører man jo osse brugernavn og password i plain text, med mindre man har adgang til SSL. Mange gange er det brugernes valg af og omgang med brugernavn og passwords der er den største sikkerhedsrisiko. Skal det være rigtig sikkert er det nok noget med certifikat eller en nøgle som ligger på brugerens pc.

ja, har overvejet det, man brugeren skal kunne komme på uanset om han er i danmark eller Hong kong. Jeg har vist adgang til SSL, hvor finder jeg en "godt i gang" guide til ssl?

Med hensyn til php-delen skal du nok starte her:
http://dk2.php.net/manual/en/ref.openssl.php

jeg vil ikke have points... jeg kom bare til at lave et svar istedet - vanens magt *GG*

k

du bestemmer, men jeg savner nu stædigvæk alligevel svar på 3. spm

Spørgsmålet kunne nu osse godt stå åbent lidt endnu, det kunne jo være der kom nogle flere tip. Meget interessant emne.

ja, de fleste sider jeg laver er der på en eller anden måde minimum at admin modul, så jeg vil gerne gøre lidt for deres sikkerhed.

Den side jeg nu spørger til er der så oxo et bruger modul :-)

En ting der er værd at tænke over er sql-injections

hvis man f.eks bruger noget lignende
$query = "SELECT id FROM users WHERE username='$user' AND password='$pass'";
$res = mysql_query($query);
til at validere en bruger med ($user og $pass hentet fra brugerinput, f.eks $_POST)

hvis en bruger så taster
ha'sh
ind i brugernavn, vil sql-kommandoen blive
SELECT id FROM users WHERE username='ha'sh' AND password='etellerandet'
og give syntaxerror near sh'

Det er måske ikke så slemt, går kun ud over brugeren selv, men hvis mysql_query() fyrer strengen af mod mysql som om den kom fra en kommandolinie, og brugeren skrev
The reason for this is that the insertion of the 'single quote' character 'breaks out' of the single-quote delimited data. The database then tried to execute 'hn' and failed. If the attacker specified input like this:
ha'; drop table users--

så vil kommandoen blive
SELECT id FROM users WHERE username='ha'; drop table users--' AND password='etellerandet'

og da ; afslutter en sqlstatement og man via kommandolinie kan fyre flere sqlstatements af i en linie, adskilt af ; ....

dette er et tænkt og uafprøvet eksempel, han skal selvfølgelig gætte tabelnavnet users, men en tanke værd, der er måske nogle som er mere opfindsomme


denne er måske værd at kigge på http://dk.php.net/manual/en/function.mysql-escape-string.php

det er måske også værd at overveje at have 2 mysql-brugere med forskellige rettigheder, og så connecte med den ene for til administrative formål og den anden i andre tilfælde

se desuden disse

www.nextgenss.com/papers/advanced_sql_injection.pdf

http://www.google.com/search?sourceid=navclient&hl=da&ie=UTF-8&oe=UTF-8&q=%22sql+injection%22

ham her er snedig nok
http://www.wiretrip.net/rfp/p/doc.asp?id=42&iface=6
http://www.wiretrip.net/rfp/p/doc.asp?id=7&iface=2
http://www.wiretrip.net/rfp/p/doc.asp?id=60&iface=6

->fri-hash - En rigtig god grund til altid som minimum at bruge addslashes() inden man bruger userinput direkte i sin forespørgsel.

jeps, mange jeg har set, gør det bare kun når de skal indsætte tekst i et felt, og ikke med sammenligningsværdier oa.

fri-hash: Jeg mener ikke at mysql_query() kan udføre flere mysql-statements, så det er vist ikke et problem...

ok, kunne ikke rigtig finde noget om det på php.net - men som jeg sagde kan det være at andre er mere opfindsomme - dette er fundet i et indlæg på webcafe


Forestil dig, at du har et site, hvor folk kan skrive, rette og slette artikler. For at slette en artikel kunne linket måske hedde noget ala:

fil.php?handling=sletartikel&artikel_id=12
I PHP koden har den skødesløse så noget ala:

<?php
$artikel_id = $_GET["artikel_id"];
$sql = "delete from artikler where artikel_id = $artikel_id";
/* her fyres $sql så afsted til mysql */
Men hvad nu, hvis jeg skrev lidt til i browserens adresselinje, og sendte en request ala denne her:

fil.php?handling=sletartikel&artikel_id=12 or 1 = 1
Så ville din SQL-sætning pludselig se sådan ud:

$sql = "delete from artikler where artikel_id = 12 or 1 = 1";
Det ville resultere i, at samtlige artikler ville blive slettet...


http://webcafe.dk/debat/php/27450.html

Tror indholdet af artikel_id ville blive url_encoded og dermed ubrugeligt i en sql-query :-)

Jeg kan se hvad i mener, det bliver med sikkerhed pts værd ;-) men jeg savner nu stædigvæk, nogle sjove forslag, som vil give gevaldige probs for en hacker.

Hvad tænker du på!?

md5 er ikke kryptering med hashing...

Og så er det jo en god idé fx at lave en

if (mysql_num_rows(mysql_query("SELECT id FROM artikler WHERE id = " . $_GET["id"] . ") > 0)
// udfør sletning

md5 er ikke kryptering MEN hashing...

detox og fri-hash så jeg kan dele pts ud!

upz prøver igen:
detox og fri-hash smid svar så jeg kan dele pts ud!

oki

Takker c",)