[php mysql] Zaawansowane logowanie Opcje

[ujex]

Witam!
Właśnie zabieram się za stronę na której będzie logowanie do panelu i potrzebuje stworzyć skrypt odporny na wszystkie ataki (niestety nie mogę wykorzystać szyfrowania).
Chciałbym się w związkyu z tym dowiedzieć od was jakie znacie metody włamywania się, a co za tym idzie zabezpieczania logowania.

Z tego co narazie wymyśliłem to po zalogowaniu generuje jakiś klucz umieszczam go w bazie w sesji a następnie porównuje, dodatkowo sprawdzm ip czy jest takie samo od poczatku

Z góry dzięki za wskazówki

[Cezar708]

Bezpieczne logowanie bez SSL

niestety nie mogę wykorzystać szyfrowania

... tak to tylko w Erze.

Piszesz że po zalogowaniu coś tam wpisujesz do bazy... tylko, że nie pomyślałeś, że to logowanie idzie niezaszyfrowane poprzez POSTa (lub GETa nie wiem jak u Ciebie). I w bardzo prostu spobób można to podsłuchać najprostszym sniferem.

Aby przed tym się zabezpieczyć proponuję zaszyfrować (przed wysłaniem w JavaScript) haslo (w sumie login też można) jakimś asynchronicznym algorytmem (np: RSA). i zdekodować to po stronie PHP potem dopiero zachaszować... i do bazy.

Cobyś nie wymyślił pamiętaj: Co jedna osoba zakręci, znajdzie się taka, która to potrafi odkręcić. Czyli, że nigdy nie da się stworzyć skryptu, który jest...

... odporny na wszystkie ataki