Bezpieczne logowanie, Jak zabezpieczyć skrypt? Opcje

[Fipaj]

Tworzę ostatnio panel administracyjny, w którym będę miał dostęp do prostego cmsa, itp.
Oto pliki:
[zaloguj.php]

[PHP] pobierz, plaintext 
<?
$poprawny_login = 'admin'; 
$poprawne_haslo = 'test'; 
if (isset ($login) && isset ($haslo)) { 
    if ($login == $poprawny_login && $haslo == $poprawne_haslo) { 
        session_start(); 
        $_SESSION['login'] = TRUE;
        header(&#092;"Location: index.php?\" . SID); 
        exit(); 
    } 
    else { 
        echo 'Błędny login lub hasło!'; 
    } 
} 
else {
?> 
<form method=\"post\" action=\"login.php\"> 
Login: <input type=\"text\" size=\"20\" name=\"login\"><br> 
Hasło: <input type=\"password\" size=\"20\" name=\"haslo\"><p> 
<input type=\"submit\" value=\"Zaloguj\"> 
</form> 
<? 
} 
?>
[PHP] pobierz, plaintext 

[wyloguj.php]

[PHP] pobierz, plaintext 
<?php
 
session_start (); 
print ('Zostałeś wylogowany.'); 
unset ($_SESSION);
session_destroy ();
 
?>
[PHP] pobierz, plaintext 

[chronione.php]

[PHP] pobierz, plaintext 
<?php
 
session_start (); 
if (!isset ($_SESSION['login'])) { 
    header (&#092;"Location: login.php\"); 
    exit(); 
}
 
?>
[PHP] pobierz, plaintext 

I mam teraz pytanie: jak poprawić żałosny poziom bezpieczeństwa tego systemu??
Haszować?? md5() crypt()
Proszę o radę...

Ten post edytował Fipaj 25.02.2005, 13:11:11

[Speedy]

Ja powiem tak:
Nie powinieneś zostawiać nie zahaszowanych haseł. Takie dane zawsze trzeba w jakiś sposób zabezpieczyć. Możesz np. zrobić sobie jakiś własny, mały algorytm szyfrujący, a następnie ciąg zaszyfrowany tym algorytmem dodatkowo zaszyfrować md5 lub odwrotnie.
Wg mnie poufnych danych, takich jak hasła, nigdy nie powinno się zostawiać w formie plain text. Niezależnie od tego, czy hasło znajduje się w bazie, pliku, czy też w skrypcie.

Pozdrawiam.

[kszychu]

Możesz np. zrobić sobie jakiś własny, mały algorytm szyfrujący, a następnie ciąg zaszyfrowany tym algorytmem dodatkowo zaszyfrować md5 lub odwrotnie.

A po co? Samo md5 jest za mało bezpieczne?
A wracając do pytania, to ja bym tych danych nie trzymał w skrypcie tylko w bazie.

[Fipaj]

Taaaak... Zrobiłem już dostęp zahaszowany md5 i zawartość z bazy danych. Dzięki za podpowiedzi

[plewa]

Według mnie algorytm md5() jest już za stary. Spróbuj czegoś nowszego. Już lepiej crypt().

[Fipaj]

Ale crypt() jest tylko jednokierunkowy

[krysk]

A po co CI dwukierunkowość?
Hasło sprawdzasz mniej/więcej w ten sposób:

[PHP] pobierz, plaintext 
<?
if ($login == $poprawny_login && md5($haslo) == $poprawne_haslo)
{
}
?>
[PHP] pobierz, plaintext 

oczywiście poprawne hasło masz zahashowane.

[ActivePlayer]

a md5 jest dwukierunkowe ?

[strife]

a md5 jest dwukierunkowe ?

hmm... znowu http://forum.php.pl/index.php?showtopic=26920

[Fipaj]

@krysk: rzeczywiście można tak zrobić... trzeba by mieć np. zahaszowane md5 hasło w pliku, odczytywać je i porównywać z zahaszowanym hasłem wpisanym w formularzu... spróbowałem i zadziałało...

[MStaniszczak]

Witam

To ja polecam jeszcze:
- dodać blokowanie możliwości logowania z konta X na Y minut w przypadku N nieudanych prób logowania
- blokowanie konta X na Y minut przy zbyt szybkich próbach logowania (próba złamania hasła przez automat)
- blokowania IP liczba nieudanych prób logowania na konto X przekroczyła Y
- blokowanie IP jeśli próbuje logować się na losowe nazwy użytkowników z niepoprawnymi hasłami
-
Pozdrawiam
Marcin Staniszczak

[Fipaj]

Całkiem dobre pomysły, Marcin. Tyle że trudne dla mnie do wykonania...

nie za bardzo łapię co zrobić by zablokować IP... Może mi podpowiecie??

[MStaniszczak]

Witam

Można po $_SERVER['REMOTE_ADDR'], jednak blokowanie po IP nie jest niestety w 100% doskonałe (dlatego chyba też lepiej blokować czasowo) gdyż jak jakaś sieć stoi za PROXY które nie przekazuje prawdziwego IP usera to blokujesz całą sieć - sorki jeśli mówię nie jasno;-) Maiłem dluuuugą noc;-)

Pozdrawiam
Marcin Staniszczak