[PHP]MySQL]Skrypt logowania, Proszę o wyrażenie swojego zdania na ten temat . Opcje

[kamillo121]

Witam , napisałem sobie skrypt logowania i nie wiem czemu ale wydaje mi się, że jest strasznie cienko zabezpieczony , tzn jest to mój drugi skrypt (po próbach ) i nie spodziewam się skryptu nie do obejścia ale takiego chociaż dość dobrego , możecie zerknąć na to i dać swoją opinie ? (tylko bądźcie wyrozumiali dla mnie, proszę (IMG:style_emoticons/default/smile.gif) (wiem, że jest do tego dział ale ja bym w razie czego chciał jakąś pomoc co do tego skryptu, tzn jakieś inne sposoby czy coś ) )

[PHP] pobierz, plaintext 
 
<?php
if(!isset($_REQUEST['action'])){
header('Location: index.php?page=news');
}else{
switch($_REQUEST['action']){
   case 'Zaloguj':
     if(!isset($_POST['login']) OR !isset($_POST['haslo']) OR strlen($_POST['login'])<1 OR strlen($_POST['haslo'])<1){
	 header('Location: index.php?page=news');
	 }else{
	  if(preg_match('/^[a-zA-Z0-9\_\-]{3,20}$/D', $_POST['login']) AND preg_match('/^[a-zA-Z0-9]{4,20}$/D', $_POST['haslo'])){
	  include 'conn.php';
	  $login=stripslashes($_POST['login']);
	  $haslo=stripslashes($_POST['haslo']); 
/// Tutaj dodałem według wskazówek szanownych forumowiczów przepuszczanie przez sha1  hasła :) 
	  $sql="SELECT * FROM user WHERE login='".$login."' AND haslo='".$haslo."' LIMIT 1 ";
	   $result=mysql_query($sql)
	      or die(mysql_error());
		   unset($sql);
	      if($row=mysql_fetch_array($result)){
	 session_start();
	 $_SESSION['login']=$row['login'];
	 $_SESSION['lvl_acc']=$row['lvl_acc'];
	 	$sql="UPDATE user  SET ostatnia_wiz='".date("Y-m-d H:i:s", time())."' " .
										"WHERE id=".$row['id']." ";
										mysql_query($sql)
										  or die(mysql_error());
										  echo '<div id="kom"><div id="tab">Komunikat</div>';
										  echo 'zalogowano<br><br>';
										  echo '<a href="index.php?page=news">Powrót na stronę głowną </a>';
	                                      echo '</div>';
	 }else{
	  echo '<div id="kom"><div id="tab">Komunikat</div>';
	  echo 'Złe hasło bądź login<br> ';
	  echo '<a href="index.php?page=news">Powrót na stronę głowną </a>';
	  echo '</div>';
	  }
	  }else{
	  echo '<div id="kom"><div id="tab">Komunikat</div>';
	  echo 'Złe dane<br> ';
	  echo '<a href="index.php?page=news">Powrót na stronę głowną </a>';
	  echo '</div>';
	  }
	 }
	break;
	case 'Wyloguj':
	session_start();
	session_unset();
	session_destroy();
	echo '<div id="kom"><div id="tab">Komunikat</div>';
	echo 'Wylogowano<br>';
	echo '<a href="index.php?page=news">Powrót na stronę głowną </a>';
	echo '</div>';
	break;
       default:
        header('Location: index.php?page=news');
        break;
 
}
//koniec switch'a
}
?>
[PHP] pobierz, plaintext 

(To jest sam skrypt który otrzymuje dane z formularza, przetwarza i loguje )

Ten post edytował kamillo121 24.08.2009, 15:30:14

[thek]

Shlizer... o przypadku dla userów napisałem

i nie wprowadzać zamieszania dla pozostałych użytkowników

Ataki brute-force przerywa się szybko i sam o tym zapewne wiesz. Blokada wykonywania po X nieprawidłowych próbach. W debianie masz po 3 błędnych logowaniach minimum 5 minut wyłączoną możliwość logowania na danego usera. To samo się w części portali stosuje. Po X próbach Y minut niemożliwości zalogowania. Może i się użytkownik wściekać, że nie może dostać do serwisu, ale skuteczność brute-force spada w sposób przeogromny.

Dane krytyczne to dla mnie dane od których zależy bezpieczeństwo użytkownika lub serwera. W tym portalu jest dla użytkownika nim tylko hasło, ale w serwisach z danymi osobowymi już poważnie bym zastanawiał się nad stosowaniem kryptografii. Oczywiście tylko w przypadku jeśli mają one nie być jawne, bo przecież na N-K danych osobowych multum, ale akurat ten serwis ma nieco inny profil działalności. Jednak w przypadku zastosowań biznesowych kryptografię bym próbował implementować.

Co do hasha i szyfru to zastosowałem skrót myślowy. Hash można bowiem uznać za szyfr, gdyż z ciągu znaków takiego samego otrzymujemy ten sam ciąg wynikowy. Dlatego napisałem, że jest to szyfr jednostronny. Nie ma bowiem algorytmu potrafiącego z hasha odtworzyć ciąg wejściowy. Zauważ jednak, że przechowuje on mimo wszystko informację o ciągu wejściowym, gdyż użycie tego samego algorytmu pozwala metodą porównywania uzyskać ostatecznie ciąg wejściowy. Jest to więc dla mnie szyfrowanie danych w pewnym stopniu. Inna sprawa, że ten sam hash teoretycznie może być efektem różnych danych wejściowych. Stąd nazwa "skrót" dla hash jest jest jak najbardziej adekwatna.