szyfrowanie logowania Opcje

[TopGun]

No wiec zabralem sie za tworzenie skryptu logowania i mam maly zgrzyt. Otoz w bazie haslo koduje za pomoca password('haslo') i nijak nie wiem jak porownac to haslo z moim wpisanym oraz jak zakodowac haslo wpisywane w formularzu by siecia szlo juz zakodowane? Ponizej moj skrypcik.

[PHP] pobierz, plaintext 
<?php
include ("baza.inc");
$sql_szukaj = "SELECT * FROM users WHERE login = 'admin' and pass = password('admin1234')";
$res_szukaj= @mysql_query($sql_szukaj, $connection) or die("Zapytanie usera nieudane");
if($res_szukaj)
{
	$sql_dodaj_admina = "insert into users (login, pass, user, uprawnienia) values ("admin", password('admin1234'), "Administrator", "3")";
	$res_dodaj_admina= @mysql_query($sql_dodaj_admina, $connection);// or die("Zapytanie dodania admina nieudane");
}
 
if(!(isset($_POST['login'])) && !(isset($_POST['haslo'])))
{
	echo "<FORM action="index.php" method="post">
		Login:
		<input type="text" name="login" /><BR/>
		Hasło:
		<input type="password" name="haslo" /><BR/>
		<input type="submit" name="Zaloguj" /><BR/></FORM>";
}
 
if(isset($_POST['login']) && isset($_POST['haslo']))
	{
		$login_porownaj=$_POST['login'];
		$haslo_porownaj=$_POST['haslo'];
		$haslo = crypt($haslo_porownaj);
		$sql_porownaj = "SELECT * FROM users WHERE login = 'jarek' ";
		$res_porownaj = @mysql_query($sql_porownaj, $connection) or die("Zapytanie porownania do bani");
		while ($row = mysql_fetch_array($res_porownaj))
		{
			$password = $row['pass'];
			echo "$password <BR>
					$haslo_porownaj<BR>
					$haslo<BR>";
		}
		if ($password == $haslo_porownaj)
		{
			echo "zalogowales sie";
		}
		else
		{
			echo "zle dane";
		}
	}
?>
[PHP] pobierz, plaintext 

niby funkcja crypt() po stronie php koduje hasla ale z tego co mi wyswietla to za kazdym razem jest inna wartosc. Jakas podpowiedz?

Ten post edytował TopGun 25.01.2007, 11:07:21

[nospor]

a ja zadam pytanie: czemu ma sluzyc hashowanie po stronie klienta?
Rozwazmy sytuacje: masz juz to hashowanie u klienta. Klient sie loguje, wysyla haslo shashowane. Siedzi sobie teraz taki hackier i nasluchuje co wysyla ludek. Przechwytuje shashowane haslo, zaraz potem wysyla identyczne rządanie logowania i mimo ze haslo bylo shashowane to i tak sie zaloguje. teraz moze robic na koncie klienta co dusza zapragnie.

[My4tic]

a ja zadam pytanie: czemu ma sluzyc hashowanie po stronie klienta?
Rozwazmy sytuacje: masz juz to hashowanie u klienta. Klient sie loguje, wysyla haslo shashowane. Siedzi sobie teraz taki hackier i nasluchuje co wysyla ludek. Przechwytuje shashowane haslo, zaraz potem wysyla identyczne rządanie logowania i mimo ze haslo bylo shashowane to i tak sie zaloguje. teraz moze robic na koncie klienta co dusza zapragnie.

...myślę, że jednak jest jakiś plus takiego rozwiązania jednak tak jak pisałem wcześniej - moim zdaniem nie warto się tym bawić. Załóżmy, że hacker sniffuje sieć i przechwytuje pakiety. Kiedy wysyłasz żądanie logowania hacker dostaje tylko hash - nie zna jawnego hasła co przy świadomości bezpieczeństwa użytkowników internetu jednak ma jakieś znaczenie - większość osób ma pewnie takie samo hasło na forum, takie samo do maila, serwera czy wielu innych. Przechwytując login i hasło wystarczy władować nick usera do google i pewnie znajdzie się jeszcze parę serwisów gdzie używa tego samego hasła. Wysyłając hash - zabezpieczasz się przed tym jednak po to jest SSH żeby go używac jeśli jest potrzebne.