logowanie nie do złamania ;-) Opcje

[michalkkk]

Witam. Ostatanio zastanawiam sie nad stworzeniem bezpiecznego formularza logowania(bez wykorzystania ssl poniewaz trzeba kupowac certyfikaty aby nie pojawiały sie ostrzeżenia przegladarek). Pomimo tytułu uważam że skrypt jest do zlamania(tak myśle, nie próbowałem), ale chciałem poznać Wasze rady, wskazówki. Może z Waszą pomocą uda mi(nam) się napisać w miarę bezpieczny formularz logowania-taki szablon ktory bedzie kazdy mogl zastosowac u siebie. Starałem się wykorzystac Wasze wskazówki, które pisaliście w innych postach. Wykorzystałem chyba troche rzadko stosowana metode z szyfrowaniem(md5-http://pajhome.org.uk/crypt/md5) niektorych przesyłanych danych w javascript po stronie klienta. Cały czas myśle co by mozna jeszcze udoskonalić, także licze na Waszą pomoc. Z góry dzięki.

Chce jak najbardziej utrudnić możliwość zalogowania przez podsłuchanie danych(brak ssl), dlatego szyfruje ip,referer,idsesji. Moze np. odczytac za pomoca JavaScript(aby nie przesyłać danych z serwera do klienta) wersje przegladarki, zaszyfrowac md5(w js) a potem odczytac za pomoca php(ale chyba przy odczycie wersji przez php tez jest przesyłana informacja) i porównac. Nie znam sie za bardzo na tym, ale czy mozna zasymulowac lub podstawić id sesji aby oszukac skrypt? Ip,referer chyba tak.

Sciezka do pliku powinna byc taka jak wpisana w poniższym pliku(oczywiscie trzeba wpisac wlasny adres)-http://jakasstrona.pl/log.php

[PHP] pobierz, plaintext 
<?
$ip=gethostbyaddr(getenv (&#092;"REMOTE_ADDR\"));
$ref=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
 
$zak_ip=md5($ip);
$zak_ref=md5($ref);
$zak_ua=md5($ua);
 
session_start();
session_register(&#092;"ses_losowa\");
session_register(&#092;"nie_zmieniaj_losowej\");
 
 
if ($_SESSION['nie_zmieniaj_losowej']!='tak')
{
$losowa=mt_rand(); //losuje kilkucyfrowa liczbe
$_SESSION['ses_losowa']=$losowa;
}
 
$_SESSION['nie_zmieniaj_losowej']='tak';
 
 
//po kliknieciu w przycisk Loguj nastepuje
//wywolanie funkcji w javascript md5 - po stronie uzytkownika,
//która zestepuje wpisane przez uzytkownika haslo w zakodowany md5 ciag znaków
//do hasla przed zakodowaniem w javascript dodawane sa dodatkowe zmienne
//i to wszystko razem jest kodowane md5(w javascript) i wysylane do serwera
//niezaszyfrowane haslo nie jest wysyłane
 
?>
<script src=\"md5.js\" type=\"text/javascript\"></script>
 
<FORM METHOD=POST>
Login: <input type=\"text\" name=\"login\" value=\"\">
Haslo: <input type=\"text\" name=\"_haslo\" value=\"\">
<input type=\"hidden\" name=\"se\" value=\"<?echo session_id();?>\">
<input type=\"hidden\" name=\"haslo\" value=\"\">
<input type=\"submit\" value=\"LOGUJ\" onclick=\"haslo.value = hex_md5(_haslo.value+'<?echo $zak_ip.$zak_ref.$_SESSION['ses_losowa'].$zak_ua?>'); _haslo.value = ''\">
</FORM>
 
<?
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
$poprawny_login='michal';
$poprawne_haslo='test123';
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
 
/////sprawdzanie czy poprawne dane
if ($_POST['login'] || $_POST['haslo'])
{
$kod_poprawny=md5($poprawne_haslo.md5($ip).md5($ref).$_SESSION['ses_losowa'].md5($ua));
 
 
   if ($_POST['haslo']==$kod_poprawny && $_SERVER[&#092;"HTTP_REFERER\"]=='http://jakasstrona.pl/log.php' && $_POST['se']==session_id())
   {
   echo 'Zostales zalogowany!';
   }
   else
   {
   echo 'Niepoprawne dane';
   exit;
   }
}
/////sprawdzanie czy poprawne dane
?>
[PHP] pobierz, plaintext 

[Jabol]

@hawk: tak, mówię o zwykłym man-in-the-middle dla SSL, z tym, że dla pierwszej sesji, kiedy użytkownik nie zna jeszcze certyfikatu drugiej strony. Oczywiście jeżeli ktoś sobie pójdzie do firmy i spisze na karteczce spisze figerprint to już na to nie zdziałam o ile nie mam ich certyfiaktu (conajmniej na moją wiedzę), a zatruwawnie ARP nic na to działa, to powoduje tylko, że zamiast do serwera pakiety płyną do mnie.
@dooshek: Jeżeli sobie zrobisz jakiś ładny tunel ssh to do bezpiecznego już miejsca (najlepiej do końca) to nic takie "niebezpieczne lokalizacje" nie zdziałają.