logowanie nie do złamania ;-) Opcje

[michalkkk]

Witam. Ostatanio zastanawiam sie nad stworzeniem bezpiecznego formularza logowania(bez wykorzystania ssl poniewaz trzeba kupowac certyfikaty aby nie pojawiały sie ostrzeżenia przegladarek). Pomimo tytułu uważam że skrypt jest do zlamania(tak myśle, nie próbowałem), ale chciałem poznać Wasze rady, wskazówki. Może z Waszą pomocą uda mi(nam) się napisać w miarę bezpieczny formularz logowania-taki szablon ktory bedzie kazdy mogl zastosowac u siebie. Starałem się wykorzystac Wasze wskazówki, które pisaliście w innych postach. Wykorzystałem chyba troche rzadko stosowana metode z szyfrowaniem(md5-http://pajhome.org.uk/crypt/md5) niektorych przesyłanych danych w javascript po stronie klienta. Cały czas myśle co by mozna jeszcze udoskonalić, także licze na Waszą pomoc. Z góry dzięki.

Chce jak najbardziej utrudnić możliwość zalogowania przez podsłuchanie danych(brak ssl), dlatego szyfruje ip,referer,idsesji. Moze np. odczytac za pomoca JavaScript(aby nie przesyłać danych z serwera do klienta) wersje przegladarki, zaszyfrowac md5(w js) a potem odczytac za pomoca php(ale chyba przy odczycie wersji przez php tez jest przesyłana informacja) i porównac. Nie znam sie za bardzo na tym, ale czy mozna zasymulowac lub podstawić id sesji aby oszukac skrypt? Ip,referer chyba tak.

Sciezka do pliku powinna byc taka jak wpisana w poniższym pliku(oczywiscie trzeba wpisac wlasny adres)-http://jakasstrona.pl/log.php

[PHP] pobierz, plaintext 
<?
$ip=gethostbyaddr(getenv (&#092;"REMOTE_ADDR\"));
$ref=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
 
$zak_ip=md5($ip);
$zak_ref=md5($ref);
$zak_ua=md5($ua);
 
session_start();
session_register(&#092;"ses_losowa\");
session_register(&#092;"nie_zmieniaj_losowej\");
 
 
if ($_SESSION['nie_zmieniaj_losowej']!='tak')
{
$losowa=mt_rand(); //losuje kilkucyfrowa liczbe
$_SESSION['ses_losowa']=$losowa;
}
 
$_SESSION['nie_zmieniaj_losowej']='tak';
 
 
//po kliknieciu w przycisk Loguj nastepuje
//wywolanie funkcji w javascript md5 - po stronie uzytkownika,
//która zestepuje wpisane przez uzytkownika haslo w zakodowany md5 ciag znaków
//do hasla przed zakodowaniem w javascript dodawane sa dodatkowe zmienne
//i to wszystko razem jest kodowane md5(w javascript) i wysylane do serwera
//niezaszyfrowane haslo nie jest wysyłane
 
?>
<script src=\"md5.js\" type=\"text/javascript\"></script>
 
<FORM METHOD=POST>
Login: <input type=\"text\" name=\"login\" value=\"\">
Haslo: <input type=\"text\" name=\"_haslo\" value=\"\">
<input type=\"hidden\" name=\"se\" value=\"<?echo session_id();?>\">
<input type=\"hidden\" name=\"haslo\" value=\"\">
<input type=\"submit\" value=\"LOGUJ\" onclick=\"haslo.value = hex_md5(_haslo.value+'<?echo $zak_ip.$zak_ref.$_SESSION['ses_losowa'].$zak_ua?>'); _haslo.value = ''\">
</FORM>
 
<?
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
$poprawny_login='michal';
$poprawne_haslo='test123';
//////poprawny login i haslo(normalnie bedzie odczytywane z bazy danych)
 
/////sprawdzanie czy poprawne dane
if ($_POST['login'] || $_POST['haslo'])
{
$kod_poprawny=md5($poprawne_haslo.md5($ip).md5($ref).$_SESSION['ses_losowa'].md5($ua));
 
 
   if ($_POST['haslo']==$kod_poprawny && $_SERVER[&#092;"HTTP_REFERER\"]=='http://jakasstrona.pl/log.php' && $_POST['se']==session_id())
   {
   echo 'Zostales zalogowany!';
   }
   else
   {
   echo 'Niepoprawne dane';
   exit;
   }
}
/////sprawdzanie czy poprawne dane
?>
[PHP] pobierz, plaintext 

[hawk]

@Jabol: AFAIK problem z man-in-the-middle był taki, że trzeba przedstawić użytkownikowi jakiś certyfikat. Nawet jak nie sprawdzi, co jest wpisane w środku. I ten fałszywy certyfikat musi być wystawiony przez jakieś centrum certyfikacyjne, bo inaczej przeglądarka zgłosi błąd. No chyba że użytkownik klika OK na każdy komunikat o błędzie, lub wykorzystamy dziurę IE, który dość liberalnie traktuje zasady, komu wolno wystawiać certyfikaty.

Tak czy siak, wymaga to chyba zaniedbania/ignorancji ze strony użytkownika. A swoją drogą, certyfikaty dla obu stron transakcji byłyby fajne (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) . Podobno w Estonii chcą wprowadzić elektroniczne dowody osobiste z zestawem kluczy do podpisu cyfrowego. Może niedługo to będzie realne?