logowanie nie do złamania ;-) Opcje

[michalkkk]

Witam. Ostatanio zastanawiam sie nad stworzeniem bezpiecznego formularza logowania(bez wykorzystania ssl poniewaz trzeba kupowac certyfikaty aby nie pojawiały sie ostrzeżenia przegladarek). Pomimo tytułu uważam że skrypt jest do zlamania(tak myśle, nie próbowałem), ale chciałem poznać Wasze rady, wskazówki. Może z Waszą pomocą uda mi(nam) się napisać w miarę bezpieczny formularz logowania-taki szablon ktory bedzie kazdy mogl zastosowac u siebie. Starałem się wykorzystac Wasze wskazówki, które pisaliście w innych postach. Wykorzystałem chyba troche rzadko stosowana metode z szyfrowaniem(md5-http://pajhome.org.uk/crypt/md5) niektorych przesyłanych danych w javascript po stronie klienta. Cały czas myśle co by mozna jeszcze udoskonalić, także licze na Waszą pomoc. Z góry dzięki.

Chce jak najbardziej utrudnić możliwość zalogowania przez podsłuchanie danych(brak ssl), dlatego szyfruje ip,referer,idsesji. Moze np. odczytac za pomoca JavaScript(aby nie przesyłać danych z serwera do klienta) wersje przegladarki, zaszyfrowac md5(w js) a potem odczytac za pomoca php(ale chyba przy odczycie wersji przez php tez jest przesyłana informacja) i porównac. Nie znam sie za bardzo na tym, ale czy mozna zasymulowac lub podstawić id sesji aby oszukac skrypt? Ip,referer chyba tak.

Sciezka do pliku powinna byc taka jak wpisana w poniższym pliku(oczywiscie trzeba wpisac wlasny adres)-http://jakasstrona.pl/log.php

[PHP] pobierz, plaintext 
<?
$ip=gethostbyaddr(getenv (&#092;"REMOTE_ADDR\"));
$ref=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
 
$zak_ip=md5($ip);
$zak_ref=md5($ref);
$zak_ua=md5($ua);
 
session_start();
session_register(&#092;"ses_losowa\");
session_register(&#092;"nie_zmieniaj_losowej\");
 
 
if ($_SESSION['nie_zmieniaj_losowej']!='tak')
{
$losowa=mt_rand(); //losuje kilkucyfrowa liczbe
$_SESSION['ses_losowa']=$losowa;
}
 
$_SESSION['nie_zmieniaj_losowej']='tak';
 
 
//po kliknieciu w przycisk Loguj nastepuje
//wywolanie funkcji w javascript md5 - po stronie uzytkownika,
//która zestepuje wpisane przez uzytkownika haslo w zakodowany md5 ciag znaków
//do hasla przed zakodowaniem w javascript dodawane sa dodatkowe zmienne
//i to wszystko razem jest kodowane md5(w javascript) i wysylane do serwera
//niezaszyfrowane haslo nie jest wysyłane
 
?>
<script src=\"md5.js\" type=\"text/javascript\"></script>
 
<FORM METHOD=POST>
Login: <input type=\"text\" name=\"login\" value=\"\">
Haslo: <input type=\"text\" name=\"_haslo\" value=\"\">
<input type=\"hidden\" name=\"se\" value=\"<?echo session_id();?>\">
<input type=\"hidden\" name=\"haslo\" value=\"\">
<input type=\"submit\" value=\"LOGUJ\" onclick=\"haslo.value = hex_md5(_haslo.value+'<?echo $zak_ip.$zak_ref.$_SESSION['ses_losowa'].$zak_ua?>'); _haslo.value = ''\">
</FORM>
 
<?
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
$poprawny_login='michal';
$poprawne_haslo='test123';
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
 
/////sprawdzanie czy poprawne dane
if ($_POST['login'] || $_POST['haslo'])
{
$kod_poprawny=md5($poprawne_haslo.md5($ip).md5($ref).$_SESSION['ses_losowa'].md5($ua));
 
 
   if ($_POST['haslo']==$kod_poprawny && $_SERVER[&#092;"HTTP_REFERER\"]=='http://jakasstrona.pl/log.php' && $_POST['se']==session_id())
   {
   echo 'Zostales zalogowany!';
   }
   else
   {
   echo 'Niepoprawne dane';
   exit;
   }
}
/////sprawdzanie czy poprawne dane
?>
[PHP] pobierz, plaintext 

[dooshek]

W moim pomyśle ta opcja odpada ponieważ podajesz skryptowi jakąś frazę, a on ją szyfruje i sprawdza czy zgadza się z zaszyfrowanym wcześniej ciągiem , który jest w jakiejś bazie. md5 da się rozszyfrować, ale ciężko, więc sam zaszyfrowany ciąg takiemu "hackerowi" na niewiele się zda. Jeśli podasz skryptowi ciąg zaszyfrowany, to on go zaszyfruje i sprawdzi , czy "podwójnie zaszyfrowane" hasło zgadza się prawidłowym hashem. Oczywiście nie będzie się zgadzać (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) . Problem pojawia się jeżeli zostanie przechwycone niezaszyfrowane hasło. Ale i tak sprawa sniffer'ów dotyczy tylko sieci i tą sprawę należy rozpatrywać inaczej. Jeśli ktoś łączy się z internetem w inny sposób - problem znika (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) .

Nie rozumiesz - nic nie musisz "rozszyfrowywac" - wystarczy przechwycic Twoj czy tez md5 snifferem i zapodac do Twojego skryptu ktory bedzie "myslal", ze pochodzi on od uzytkownika... W rzeczywistosci bedzie pochodzil od hackera ktory bez podawania hasla sie dostanie na stronke. Mozesz to szyfrowac i rozszyfrowywac miliony razy - to nic nie da dopoki transmisja nie bedzie bezpieczna.

Co do snifferow i braku problemu podsluchiwania to nie bylbym pewien czy "problem znika" - podejrzewam, ze da sie podsluchac Cie jak uzywasz modemu, neo czy tez innego "dostepu" - pakiety przechodza przez rozne miejsca wiec nie sadze, ze to nie jest problem a jesli rozpatrujesz "bezpieczne" logowanie to Twoje takie nie jest niestety (IMG:http://forum.php.pl/style_emoticons/default/sad.gif)

Ten post edytował dooshek 13.12.2004, 18:30:44