logowanie nie do złamania ;-) Opcje

[michalkkk]

Witam. Ostatanio zastanawiam sie nad stworzeniem bezpiecznego formularza logowania(bez wykorzystania ssl poniewaz trzeba kupowac certyfikaty aby nie pojawiały sie ostrzeżenia przegladarek). Pomimo tytułu uważam że skrypt jest do zlamania(tak myśle, nie próbowałem), ale chciałem poznać Wasze rady, wskazówki. Może z Waszą pomocą uda mi(nam) się napisać w miarę bezpieczny formularz logowania-taki szablon ktory bedzie kazdy mogl zastosowac u siebie. Starałem się wykorzystac Wasze wskazówki, które pisaliście w innych postach. Wykorzystałem chyba troche rzadko stosowana metode z szyfrowaniem(md5-http://pajhome.org.uk/crypt/md5) niektorych przesyłanych danych w javascript po stronie klienta. Cały czas myśle co by mozna jeszcze udoskonalić, także licze na Waszą pomoc. Z góry dzięki.

Chce jak najbardziej utrudnić możliwość zalogowania przez podsłuchanie danych(brak ssl), dlatego szyfruje ip,referer,idsesji. Moze np. odczytac za pomoca JavaScript(aby nie przesyłać danych z serwera do klienta) wersje przegladarki, zaszyfrowac md5(w js) a potem odczytac za pomoca php(ale chyba przy odczycie wersji przez php tez jest przesyłana informacja) i porównac. Nie znam sie za bardzo na tym, ale czy mozna zasymulowac lub podstawić id sesji aby oszukac skrypt? Ip,referer chyba tak.

Sciezka do pliku powinna byc taka jak wpisana w poniższym pliku(oczywiscie trzeba wpisac wlasny adres)-http://jakasstrona.pl/log.php

[PHP] pobierz, plaintext 
<?
$ip=gethostbyaddr(getenv (&#092;"REMOTE_ADDR\"));
$ref=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
 
$zak_ip=md5($ip);
$zak_ref=md5($ref);
$zak_ua=md5($ua);
 
session_start();
session_register(&#092;"ses_losowa\");
session_register(&#092;"nie_zmieniaj_losowej\");
 
 
if ($_SESSION['nie_zmieniaj_losowej']!='tak')
{
$losowa=mt_rand(); //losuje kilkucyfrowa liczbe
$_SESSION['ses_losowa']=$losowa;
}
 
$_SESSION['nie_zmieniaj_losowej']='tak';
 
 
//po kliknieciu w przycisk Loguj nastepuje
//wywolanie funkcji w javascript md5 - po stronie uzytkownika,
//która zestepuje wpisane przez uzytkownika haslo w zakodowany md5 ciag znaków
//do hasla przed zakodowaniem w javascript dodawane sa dodatkowe zmienne
//i to wszystko razem jest kodowane md5(w javascript) i wysylane do serwera
//niezaszyfrowane haslo nie jest wysyłane
 
?>
<script src=\"md5.js\" type=\"text/javascript\"></script>
 
<FORM METHOD=POST>
Login: <input type=\"text\" name=\"login\" value=\"\">
Haslo: <input type=\"text\" name=\"_haslo\" value=\"\">
<input type=\"hidden\" name=\"se\" value=\"<?echo session_id();?>\">
<input type=\"hidden\" name=\"haslo\" value=\"\">
<input type=\"submit\" value=\"LOGUJ\" onclick=\"haslo.value = hex_md5(_haslo.value+'<?echo $zak_ip.$zak_ref.$_SESSION['ses_losowa'].$zak_ua?>'); _haslo.value = ''\">
</FORM>
 
<?
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
$poprawny_login='michal';
$poprawne_haslo='test123';
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
 
/////sprawdzanie czy poprawne dane
if ($_POST['login'] || $_POST['haslo'])
{
$kod_poprawny=md5($poprawne_haslo.md5($ip).md5($ref).$_SESSION['ses_losowa'].md5($ua));
 
 
   if ($_POST['haslo']==$kod_poprawny && $_SERVER[&#092;"HTTP_REFERER\"]=='http://jakasstrona.pl/log.php' && $_POST['se']==session_id())
   {
   echo 'Zostales zalogowany!';
   }
   else
   {
   echo 'Niepoprawne dane';
   exit;
   }
}
/////sprawdzanie czy poprawne dane
?>
[PHP] pobierz, plaintext 

[dooshek]

Generalnie haszowanie hasła przed wysłaniem go dna serwer to bardzo dobry pomysł. Jedyny problem pojawia sie jesli user ma wylaczony javascript (a tacy sa).
Zresztą wystarczy odpalić jakikolwiek sniffer w sieci lokalnej aby wyłąpać masę haseł.
Kiedyś myślałem nad takim bezpiecznym formularzem - trzeba w nim przekazać jak najwięcej danych o użytkowniku, więc patrzymy sobie w phpinfo" target="_blank - jest bezpieczniejszy, i można goteż sciągnąć dla javascriptu - z podanej przez ciebie strony.

Dobrym pomysłem, imo, jest też sprawdzanie tych wartości za każdym startem sesji.

No generalnie panowie bardzo fajnie tylko co jesli ktos przechwyci ten md5 (za pomoca sniffera zaden problem) i po prostu wysle do serwera ten MD5 ktory podal uzytkownik? Wtedy nie musi znac nazwy uzytkownika ani hasla - przesyla do serwera te md5tki, sha1cze czy co tam jeszcze i i tak sie np. zaloguje...