Sikkerhed på log-in system

Jeg har bl.a. gjort således, at det ikke er muligt at poste data fra anden formular end fra selve log-in-formularen.

Adgangskode er gemt som md5, så det er ej heller muligt at aflæse den direkte fra databasen (databasen er under alle omstændigheder udenfor IIS-biblioteket).

Er der andre forslag til områder jeg skal være opmærksom på?

...og SSL er jo en selvfølge :)

Har du beskyttet den imod SQL injection?

Jeg fjerner alle ' og " fra input som sendes til databasen - er det det som du mener?

...samt alle > bliver lavet om til &lt, og alle < til &gt

"ikke er muligt at poste data fra anden formular end fra selve log-in-formularen."
hvordan det?

20/11-2007 19:07:55> Ja det er da bestemt en måde at gøre det på - godt nok lidt destruktivt hvis folk nu vitterligt har brug for et '-tegn i deres navn.

"-tegnet er ikke farligt på nogen måde.

Du har selvfølgelig helt ret i, at det er ret destruktivt på den måde jeg bruger.

Er der en anden måde at gøre det på?

Erstat '-tegn med 2 x '-tegn

' -> ''

er det kun ' som kan give problemer?

Ja, ved SQL injection.

20/11-2007 19:09:07 er jo en udemærket beskyttelse i mod en anden type angreb - selvom man normalt ville vurdere om man ikke hellere skulle encode ved udtræk i stedet for ved indsættelse.

Din kommentar om at " ikke er farligt på nogen måde. Jeg mener bare, at have set et sted, at det kan give problemer i forbindelse med sql injection, men den holder måske ikke?

Ikke mig bekendt - måske i nogle helt specielle tilfælde hvis du har nogle bestemte funktionskald indbygget i din SQL.

Super, vil du lave et svar?

Jeg holder lige spørgsmålet åbent i et par dage - i håb om, at der er nogen som måske har flere forslag til forbedring af sikkerheden.

Men tusind tak for hjælpen.

Hvis der skal vurderes mere på sikkerheden så skal der vises noget kode.

Husk endvidere på at det ikke kun er ved login at der skal beskyttes imod SQL injection. Et angreb kan sagtens snige sig ind af andre veje.

Jeps, er jeg opmærksom på... samme sikkerhedsniveau ved resten af systemet som ved selve log-in delen.