Dårlig sikkerhed.

Jeg kan kun give forfatteren til denne tråd ret. Indholdet af cookies bør være krypteret. Det burde være en principiel ting at man altid krypterer eller hash'er et password uanset hvor det nu gemmes!!!!

Mvh. Thomas Lykke Petersen
Hvorfor?
Der bliver sendt et password i klartekst. Dette password kan så enten være sin originale form eller en hashværdi. Hvad enten der vælges bliver dette matchet op imod den kendte værdi fra databasen. Hvordan skal der komme nogen form for ekstra sikkerhed så?
Hvis du mener passworded skal krypteres på klientmaskinen tager du grueligt fejl... Så krypterer vi et password, og gemmer nøglen ved siden af eller hvordan havde du tænkt dig at passwordet igen skulle give mening for Udv's database?

Som nævnt i mit tidligere svar er den eneste risiko at klientmaskinen biver kompromitteret, hvor cookiens indhold så kan aflæses.


Mvh,

Thomas Nielsen

Jeg mener at md5 digest er den bedste løsning, da man ikke behøver gemme nogen key, da det ikke kan reverses!

Mvh. Thomas Lykke Petersen

Jeg mener at md5 digest er den bedste løsning, da man ikke behøver gemme nogen key, da det ikke kan reverses!

Mvh. Thomas Lykke Petersen

Og hvad skulle browseren så sende til servere? MD5-hashet? Så kan en eventuel angriber jo bare sniffe netværket og så selv bruge hashen til at logge ind på siden.

Jeg mener at md5 digest er den bedste løsning, da man ikke behøver gemme nogen key, da det ikke kan reverses!

Mvh. Thomas Lykke Petersen

Og hvad skulle browseren så sende til servere? MD5-hashet? Så kan en eventuel angriber jo bare sniffe netværket og så selv bruge hashen til at logge ind på siden.

Hmm .. Ja, det har du ret i.... Men mener dog stadig at man aldrig bør gemme et password i klar tekst..

Mvh. Thomas Lykke Petersen

Hmm .. Ja, det har du ret i.... Men mener dog stadig at man aldrig bør gemme et password i klar tekst..

Mvh. Thomas Lykke Petersen

Jeg er enig, en simpel bitflip eller ROT-13 kryptering ville være fint. Jeg er ikke ekspert på emnet om digitale hundelorte, men jeg tror ikke at serveren selv styrer hvordan cookies er opbygget - det er vist browserens ansvar.

1. Bruger indtaster password
2. Password (stadig klartekst) sendes til et SERVERSIDE phpscript, som først kører den gennem en md5(); og derefter matcher vs. databasen.

Mvh.
Christian Schultz Knudsen

Det var også noget Kasper overvejde i sin tid. Han valgte dog at have understøttelse for en funktion til at sende passwords til brugere hvis de havde glemt dem.
Dette ville selvsagt ikke være muligt hvis der var gemt md5 hashes i databasen.

Så den eneste "risiko" ville være hvis databaseserven blev hacket, men så ville spørgsmålet være: Hvorfor skulle en angriber så ikke blot ændre hvad end data han ønskede, istedet for at tage aflæse password og så gøre tingene via. websitet?
For der er vel ikke nogen som bruger samme kode til flere sites, vel?


Mvh,

Thomas Nielsen

1. Bruger indtaster password
2. Password (stadig klartekst) sendes til et SERVERSIDE phpscript, som først kører den gennem en md5(); og derefter matcher vs. databasen.

Mvh.
Christian Schultz Knudsen

Det var også noget Kasper overvejde i sin tid. Han valgte dog at have understøttelse for en funktion til at sende passwords til brugere hvis de havde glemt dem.
Dette ville selvsagt ikke være muligt hvis der var gemt md5 hashes i databasen.

Så den eneste "risiko" ville være hvis databaseserven blev hacket, men så ville spørgsmålet være: Hvorfor skulle en angriber så ikke blot ændre hvad end data han ønskede, istedet for at tage aflæse password og så gøre tingene via. websitet?
For der er vel ikke nogen som bruger samme kode til flere sites, vel?


Mvh,

Thomas Nielsen

Det med at sende passwords til brugere hvis de har glemt det, jamen, man kunne jo bare lave en password-generator, så kunne brugeren få et nyt hvis de glemte det gamle så kunne brugeren jo logge ind og dermed ændre det til noget de bedre kan huske.... så var det i hvertfald ikke en hindring.


Mvh. Thomas Lykke Petersen

Det var også noget Kasper overvejde i sin tid. Han valgte dog at have understøttelse for en funktion til at sende passwords til brugere hvis de havde glemt dem.
Dette ville selvsagt ikke være muligt hvis der var gemt md5 hashes i databasen.

Det er rigtigt, der vil jeg ty til idéen om en password-generator, så kan brugeren logge ind med et tilfældigt password og så bestemme sig for, derefter, om han vil ændre det til noget andet.

Det med at få tilsendt sit password, det er altså heller ikke sådan helt for super, når nu vi snakker sikkerhed.

Så den eneste "risiko" ville være hvis databaseserven blev hacket, men så ville spørgsmålet være: Hvorfor skulle en angriber så ikke blot ændre hvad end data han ønskede, istedet for at tage aflæse password og så gøre tingene via. websitet?

Min idé går ikke ud på at hacker-sikre udvikleren.dk - det er selvsagt umuligt.
Min idé går ud på, at man ikke bare kan sætte sig ned ved en person's computer, for derefter at LÆSE dennes passwords. Jeg ved godt man kan duplikere en cookie stort set, men at læse et password som bare står der, det er for nemt.

For der er vel ikke nogen som bruger samme kode til flere sites, vel?

Nu bruger jeg omtrent 50-60 sites som kræver jeg opretter en profil med tilhørende password.
80% af dem deler jeg op i kategorier, hvor jeg så tildeler et password til hver kategori, resten får jeg reset'd mit password uendeligt mange gange.
-
Mvh.
Christian Schultz Knudsen

Mange bruger samme password alle steder, så når passwordet ikke er hashet, kan personer finde folks password til mange sites. For mit vedkommende er der størst chance for at en anden får fat i mit password, hvis de sidder ved min computer (og ja, der er andre end mig selv der sidder ved min computer) og læser i mine cookies. Her vil et hash hjælpe gevaldigt. De kan stadig logge ind på min konto, men de kan så ikke læse mit password! (der ER stor forskel)

Om passwordet er hashed/krypteret i databasen eller når det sendes over nettet er for mig ligegyldigt, men i cookien bør det være hashed.

Om passwordet er hashed/krypteret i databasen eller når det sendes over nettet er for mig ligegyldigt, men i cookien bør det være hashed.

Hvis det er hashed i din cookie kan du jo ikke sende det rigtige password til serveren. En hash-funktion er envejs...


Mvh,

Thomas Nielsen

Om passwordet er hashed/krypteret i databasen eller når det sendes over nettet er for mig ligegyldigt, men i cookien bør det være hashed.
Hvis det er hashed i din cookie kan du jo ikke sende det rigtige password til serveren. En hash-funktion er envejs...


Mvh,

Thomas Nielsen

Man kan vel hente det hashede fra clienten og lave et hash af det i DB og så sammenligne?
Hilsen k-roy
(christian bekker A.)
Msn: K_r0y@hotmail.com
-- Problemer er til for at blive løst --