[php][flash] Zabezpieczenie formularza, przed atakami za pomocą cURL. Nic nie pomaga :(, Problem z odpornością formularza na ataki. Opcje

[sniezny]

Może i temat bezpieczeń był już poruszany, przeglądałem już chyba wszystkie na tym forum. Jedyną sensowną metodą wydał mi się sposób z dobrze wykonanym tokenem obrazkowym. Ale jeśli nie mogę stosować tokenów, a chcę, aby skrypt był wywoływany tylko i wyłącznie z mojego zerwera ? Nagłówki też można łatwo spreparować, dane do formularzy również można wysyłać dowolnie. Chciałbym tak właśnie zabezpieczyć grę flash, aby wyniki były przekazywane bo zakończeniu gry, a nie wtedy kiedy użytkownik zrobi sobie skryp który będzie dopisywał wyniki do bazy, bez otwierania nawet gry. Zastosowałem sesje w PHP, ale czytałem artykuły, że biblioteka cURL pozwala na otwieranie sesji. I co teraz ? Czy ktoś pomoże ?

[Łukasz O.]

nie widzę problemu - wynik w grze będzie wysyłany do bazy dopiero po kliknięciu przycisku wyślij w samej grze - żaden curl nie potrafi wcisnąć flashowego przycisku:) wtedy tylko zostaje Ci zabezpieczenie samej gierki jako takiej

[sniezny]

Tak, też to jest rozwiązane, ale zauważ, że po klinięciu dane są przesyłane POST'em do odpowiedniego skryptu i wtedy się ten skrypt wykonuje, na serwerze zatem jest np. flash.php i to on odpowiada za wyniki. Jego można już wywołać w bardzo prostu sposób, a przy dekompilacji flasha, wiemy gdzie jest plik i jak nazywają się zmienne.

[Istalacar]

Witam

Zauważ że to co wysyłasz wcale nie jest udostępnione ogółowi, ktoś wybitny (mówię tutaj o co 100 osobie, przy czym rozróżniam osoby które potrafią i te które potrafią i im się chce) sobie poradzi i przechwyci dane które wysyłasz, ale z tym możesz sobie poradzić szyfrując wyniki zanim je wyślesz.
Dodał bym tylko iż dobrze by było wysyłać wyniki na adres bezwzględny.

Pozdrawiam
Istalacar

[sniezny]

Też myślałem nad szyfrowaniem, tylko jak by miało to działać ? Gra wysyła wynik do php ten go szyfruje, zwraca zaszyfrowany, potem do drugiego php jest wysyłany już zaszyfrowany wynik ? Adres bezwzględny ? wydaje mi się, że to nie pomoże.

[Istalacar]

Witam

Np. php generuje liczby losowe które przekazuje do flasha i do sesji (nie znam się na flashu, ale podejżewam, że jest jakiś sposób aby przekazać dane) flash przed wysłaniem danych (loginu, kilku literek losowych, wyniku) szyfruje to i wysyła to do adresu bezwzględnego (jeżeli będzie względny zawsze będzie możliwość pobrania na dysk flasha, uruchomienie go i spreparowaną stroną odczytania wartości, z bezwzględnym będzie to już nieco trudniejsze.
Po odebraniu skrypt odszyfrowywuje dane i zapisuje wynik.

Pozdrawiam
Istalacar

[sniezny]

Hmm.. możliwe, że to dobry sposób choć, będzie to dłużej trwało. Myśle, że zrobie tak: flash generuje liczbę losową, przekazuje ją do PHP, php ją szyfruje i rozpoczyna sesje, zapisując zaszyfrowaną zmienną. Flash cały czas pamięta tą zmienną i przy wysyłaniu wyników podaje i ją. Potem php porównują ją z tą co jest w sesji i finito. Dzięki za pomoc. A może ktoś ma jeszcze jakiś pomysł?