Password hjælp!

Et godt login system bruger en form for database. Enten en database, eller en tekst fil. De indeholder brugernavne og kodeord.
Der er skal bruges serverside scriptsprog, som f.eks. ASP, JSP eller PHP.
JavaScript er klientside scriptsprog, dvs JavaScript kan hverken oprette forbindelse til en database, eller læse tekst filer.

At skrive selve kodeordet i html filen, er det dum ide.. og det har du vist allerede fundet ud af :)
En JavaScript løsning, er at bruge navnet på en htm fil, som kodeord.

F.eks.:
Kodeordet er "jens".. filen hedder så 'jens.htm'.
'jens.htm' sender brugeren videre til de hemmelige filer.

Eksempel på kode:


<form name="frmlogin" method="POST" action="" onSubmit="if (this.kodeord.value != '') location.href=this.kodeord.value + '.htm'; return false;">
<input type="password" name="kodeord">
<input type="submit" name="submit" value="Send">
</form>

Hvis det ikke virker, prøv:

<form name="frmlogin" method="POST" action="" onSubmit="return videre(this.kodeord.value)">
<input type="password" name="kodeord">
<input type="submit" name="submit" value="Send">
</form>

<script type="text/JavaScript">
function videre(val)
{
location.href=val + '.htm';
return false;
}
</script>

Nope... Duer ik... Kender den... Let at cracker!

Sry!

Du kan da bare lave et årnsvagt kodeord: p34l98-h72kfp1.html ...

Hvis du gerne vil have et SIKKERT system, som din mor med garanti ikke kan cracke og som er NEMT at integrere i din side, så brug .htaccess:

http://www.webcafe.dk/artikler/apache/htaccesspassword/
http://www.webcafe.dk/artikler/apache/htaccesspassword2/

Det kræver altså bare at du har 2 sider:

.htaccess:

AuthName "-- Din hemmelige side(r) --"
AuthType Basic
AuthUserFile /stien/til/dit/bibliotek/på/serveren/htpasswd
require valid-user

htpasswd

brugernavn:krypteretpassword

Her står dit brugernavn, et ':', samt et krypteret kodeord. Lav særningen her:

http://www.webcafe.dk/artikler/apache/htaccesskrypterpassword/#her

Filerne skal hedde NØJAGTIGT som der står, den første skal starte med et punktum. Du kan oprette den i Notesblock, ved at sætte "" om filnavnet, så gemmer den dit filnavn nøjagtigt som der står. Husk at vælg alle filer.

Hvis du ikke bruger Apache, så findes der noget tilsvarende for ISS, men det har jeg ikke helt tjek på.

Aner ikke hvad Apache er... Såå... Har i noget en NOOB ka finde ud af men stadig er ret svær at cracke?!

"Let at cracker!"? Nej, det er det ikke. Det er faktisk meget svært at cracke, for ikke at sige "næsten umuligt". Man skal faktisk være meget heldig, for at cracke det. Eller også skal man bruge "brute force"-metoden, som prøver alle kombinationer, og tager MEGET lang tid (kommer an på længden af kodeordet).

Du kan hurtigt lave et sikkert system med "jens.htm"/"p34l98-h72kfp1.html" og cookies.

På hver eneste side, indsætter du noget kode der checker om cookien indeholder de rette data. Hvis de ikke gør, sendes man til en login side.
På den måde skal man via login siden, skrive det rigrige kodeordet, og henter "p34l98-h72kfp1.html". Filen "p34l98-h72kfp1.html" skriver så cookien, og så er det tilladt at se dine sider.

Det er meget nemt at ændre kodeordet, da du bare skal ændre det der står før ".html" i "p34l98-h72kfp1.html".


Og, Det hedder IIS :)

Og jeg synes at det er lidt for langt ude, at skulle sætte sig ind i Apache/IIS, bare for at lave noget beskyttelse.
Hvis det er at man skal hen og arbejde med server side beskyttelse, kan man lige så godt sætte sig ind i enten ASP eller PHP. Og så ville det være en god ide, at bruge en database.

Lektioner i ASP: http://html.dk/tutorials/asp/

Præcis for at illustrere, at det faktisk er meget svært, lavede jeg det håbløse kode-ord ...

For, som thesurfer skriver, er det i praksis ikke muligt at cracke, medmindre man har NSAs muligheder (tre supercomputere, som kører parallelt !-)

14 tegn, som jeg tilfældigvis angav, giver omkring 26.843.545.600.000.000.000.000 muligheder !o]

Uhmm... Jeg er ret noob... Så... Kan du hjælpe mig med at sætte den korrekt op?! Altså sige PRÆCIS hvad jeg skal ændre i koden og hvor det skal være?!

Lav en fil med et fuldstændigt håbløst navn, den fil skriver så en cookie:

p34l98-h72kfp1.html:

<html>
<script type="text/javascript">
document.cookie="medlem=ok;pass=accepted4664654;expires=Fri, Dec 31 2004 23:59:59 GMT";
location.href="medlemsside.html";
</script>
</html>

Og så medlemsside.html:

<html>
<script type="text/javascript">
if(document.cookie.indexOf('accepted4664654')==-1)history.go(-2);
</script>

<!-- resten af siden -->

</html>

-- det skulle betyde, at meget fanatiske crackere havde en lille bitte chance, men almindelige og avancerede brugere og crackere aldrig kom i nærheden !-)

Uhmm... Fattede jeg numse X 2 af! kan du tage den i et lidt mere roligt tempo?!

Nu nåede jeg så også at blande indtil flere ting sammen !-)

Men jeg går ud fra, at det er vigtigt, at ikke enhver kan komme ind på din side, men at du ikke vil hyre det samlede udbud af kriminelle i Marseilles til at forhindre det !-)

Altså, at du har brug for en sikkerhed, som ikke 'bare' kan crackes, men du vil ikke iværksætte en egentlig autencifikation (som kræver et database-script !-), så det er fuldstændig umuligt.

Det eksempel jeg har givet, arbejder i to niveauer:

Første gang skal et medlem skrive hele den umulige streng for at komme ind, senere vil det være muligt for det samme medlem at komme ind uden at skrive den samme gang volapyk !o]

Så i din 'Gå til medlemsside', laver du to muligheder:

Een, hvor man bare klikker på et link og så føres til medlemssiden, men der vil man så blive smidt flere sider tilbage, hvis man ikke har logget ind, og en, hvor man skal indskrive passwordet, som så har en knap ved, som fører en omkring cookie-skriveren:

<form>
Log-in-password: <input type="password" name="pass"size="30"><br>
<button onclick="location.href=this.form.pass.value+'html'">Log-in første gang</button><br>
<button onclick="location.href='medlemsside.html'">Log på (jeg har tidligere været logget på)</button>
</form>

Ok... Men... Hvad med resten?! Hvordan kan det være den lægger en cookie der!? Og hvad skal jeg mere gøre?!

roenving gav et fint eksempel.. dog ville jeg nok bruge location.href="login.htm"; i stedet for history.go(-2);
Så sendes man direkte til login siden, i stedet for den anden sidste man har været på. Måske ville den bare ignorere history.go(-2), hvis man kommer direkte ind på en af de beskyttede sider.

* På login siden ('login.htm') ville der så være et text-felt til kodeordet, og en knap til afsendelse af informationerne. Her indtaster man roenvings indviklede kodeord, og klikker på "Send"-knappen.
F.eks.:

<form method="post" onSubmit="location.href=this.kodeord.value+'.htm'; return false">
Kodeord: <input type="password" name="kodeord">
<input type="submit" name="submit" value="Send">
</form>

* På kode-siden sættes cookien (f.eks. roenvings kode-fil)
<html>
<script type="text/javascript">
document.cookie="medlem=ok;pass=accepted4664654;expires=Fri, Dec 31 2004 23:59:59 GMT";
location.href="medlemsside.html"; // denne side indeholder links til medlemssiderne
</script>
</html>

* På ALLE dine medlemssiderne har du koden (eksempel):

<html>
<script type="text/javascript">
// hvis 'accepted4664654' ikke findes i cookien, sendes brugeren til login-siden
if(document.cookie.indexOf('accepted4664654')==-1) location.href='login.htm';
</script>

<!-- resten af siden -->

</html>

Ok... Fattede det første og andet... Men.... Skal den sidste kode stå LIGE under Html eller i Head?! Og... Hvad med den der "Accepted" ting... Altså: "document.cookie="medlem=ok;pass=accepted4664654;expires=Fri, Dec 31 2004 23:59:59 GMT";
" hvad er det med tiden og hvad er det med nummeret?!

"accepted4664654">
Dette er 'valideringsordet'/'kontrolordet'. Den checker man, om eksisterer i cookien. Der kan stå hvad som helst her.

"expires=Fri, Dec 31 2004 23:59:59 GMT">
En cookie skulle gerne 'dø' på et eller andet tidspunkt, hvis man ikke selv slår den ihjel. Når den 'dør', slettes den fra din computer. I roenvings eksempel dør cookien den 31. december år 2004, klokken 23:59:59, GMT (GMT = London tid = Dansk tid minus 1 time).

OK! Uhmm... Hvem skal ha pointsne?! Thesurfer og roenving har hjulpet lige meget! :S

Det er meget enkelt :)
Jeg lægger et svar, og det gør roenving også. Så kan du fordele points via avanceret pointsfordeling.

Du skal lige vente til, at roenving også lægger et svar! :)

Hmm... Kan man ikke få den til at holde længere?!

hmm.. jeg ved ikke lige hvor langt tid, man kan holde en cookie i live, men 1 år må da være mere end nok :)
Du skal lige tænke på, at sålænge at cookie er på computeren, kan alle der bruger computere, komme ind på dine medlemssider..

Jaah...Hmm... Så skal jeg jo lave en advarsel... At man IKKE skal logge ind på medlemssiden hvis man bruger offentlig com

-- det er også en god idé !-)

-- men dine brugere vil vel også mest bruge den fra private steder, medmindre de lige skal bruge en aften på skisportsstedet eller Mallorca ...

-- og velbekomme '-)

Tusing tak i to! :) I har hjulpet mig meget! 100 point til jer!

-- og tak for points ;~}

Forresten... Nu jeg prøver det... Duer det ikke... Selvom jeg har sat det op PRÆCIS som i har sagt så flyver jeg tilbage til loginsiden hver gang! Nogen ideer?!

Prøv selv... www.htmlbugg.dk/td/login.htm ... Kodeordet er bmkcht11291183

Nej forresten... det er a... Bare a... Lille a

hmm..

roenvings kode:
document.cookie= (og: "medlem=ok;pass=accepted4664654;expires=Fri, Dec 31 2004 23:59:59 GMT";)

din kode:
document.ignore= (og: "medlem=ok;pass=accepted10182191619132;expires=Fri, Dec 31 2004 23:59:59 GMT";)

du bruger ".ignore" i stedet for ".cookie".. eller også er det serveren der ikke tillader ".cookie"..

Nope... Bruger ikke .ignore .. :S Aner ik hva der går galt for skidtet!

<html>
<script type="text/javascript">
document.cookie="medlem=ok;pass=accepted123456789;expires=Fri, Dec 31 2004 23:59:59 GMT";
location.href="members/index.htm";
</script>
</html>



KOPI fra a.htm

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML>
<script type="text/javascript">
if(document.cookie.indexOf('accepted123456789')==-1) location.href='../login.htm';
</script>
<HEAD>
<!-- Minus AutoDato -->
    <TITLE>Layout for Frontpage</TITLE>
<META NAME="Generator" CONTENT="Stone's WebWriter 3.5">
</HEAD>
<BODY bgcolor="000000">


Og kopi fra members siden...

Hmm.. Måske er cookien for LANG?! :S Prøver at lave den koretere...

Nope... Duer ik!

Jeg tror at det er serveren der ændre "cookie" til "ignore"..

Ok! :S En af mine venner hoster mig nu! Håber den server virker!

En lille slutbemærkning - "clan-mødre" læser også eksperten ..... så tak for hjælpen. Hilsen en mor!