Srodne teme

14.04.2024. Re: Gde je Kejt? (samo pogrešni odgovori)
24.10.2001. Kako da zastitim Login
08.02.2002. Solaris 8 Security book review
08.05.2002. NT security
30.07.2002. PHP 4.2.0 i 4.2.1 BUG!!!
04.12.2002. mingetty + nesto drugo osim /bin/login
08.01.2003. Linux security u 2002 godini
23.05.2003. Problemi sa migracijom PHP aplikacije sa PHP Tria..
03.08.2003. PHP config SESSION problem :(
03.11.2003. Graficki login?

Navigacija

Brisanje liste

Lista poslednjih: 16, 32, 64, 128 poruka.

PHP login security

[es] :: PHP :: PHP login security

Strane: 1 2

[ Pregleda: 9512 | Odgovora: 39 ] > FB > Twit

Autor

vilyu
Web Developer
Beograd, Srbija

Član broj: 1188
Poruke: 444

+2 Profil

PHP login security

^{13.11.2001. u 12:15 - pre 273 meseci}

Kada jednom proverim username i password korisnika na ulaznoj strani restricted sekcije sajta, da bih sprecio da neko preskoci tu stranu i nastavi dalje bez provere, da li da svakoj sledecoj php strani prosledjujem username i pass, pa da ona ponovo proverava, ili postoji bolje resenje (sto me uopste ne bi cudilo)? Naravno, ako stalno prosledjujem password, onda neko ko vrsi monitoring mreze moze veoma lako da obezbedi sebi prolaz, zar ne? Hvala.

Pera električar 0637129710, BG, preporučujem.

Odgovor na temu

Gojko Vujovic
Amsterdam, NL

Administrator
Član broj: 1
Poruke: 13651

+165 Profil

Re: PHP login security

^{13.11.2001. u 12:30 - pre 273 meseci}

Rešenje mogu biti cookies ili neki drugi vid session tracking-a.
Ako je sigurnost bitan faktor, onda koristi SSL (https), sve ostalo je nedovoljno pouzdano.

Odgovor na temu

vilyu
Web Developer
Beograd, Srbija

Član broj: 1188
Poruke: 444

+2 Profil

Re: PHP login security

^{13.11.2001. u 19:24 - pre 273 meseci}

OK, gde bih mogao da nadjem neki tutorijal o SSL-u? Takodje me interesuju i neki bolji sajtovi koji se bave ovom temom. Jel mozes da mi das linkove? Hvala.

Pera električar 0637129710, BG, preporučujem.

Odgovor na temu

Gojko Vujovic
Amsterdam, NL

Administrator
Član broj: 1
Poruke: 13651

+165 Profil

Re: PHP login security

^{13.11.2001. u 19:53 - pre 273 meseci}

Rešenje sa cookies je lakše za implementaciju ako ti je hitno, već se pričalo o tome na ovom forumu, pogledaj stare teme ima par linkova koje vredi pogledati. Ako u cookie staviš kriptovanu lozinku, dovoljno je sigurno za većinu stvari.

Korišćenje SSL-a je rešenje na nivou web servera, i to definitivno preporučujem za stvari gde je sigurnost kritičan faktor. SSL certifikat autentičnosti se plaća mada nije neophodan, možeš ga i sam generisati i komunikacija će biti jednako sigurna, samo će korisnici dobijati jedno upozorenje pri pristupanju sajtu. Originalne certifikate izdaje http://www.thawte.com/
Treba ti još i Apache web server sa ssl podrškom, konsultuj www.apache.org kao i http://httpd.apache.org/related_projects.html#apachessl

Takođe koristan link ako ćeš ti instalirati taj apache:
The Soothingly Seamless Setup of Apache, SSL, MySQL, and PHP
Za pristup stranicama ćeš koristiti port 443, dakle ili http://sajt.com:443/ ili https://sajt.com/

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{13.11.2001. u 23:28 - pre 273 meseci}

prosto se namece:

session_register ("logged_on");

naravno moze i preko cookies - ali to je primerenije perl-u, gde nema session varijabli (na zalost).

= come get some =

Odgovor na temu

alex
Aleksandar Radulovic
Senior Software Engineer, Spotify
Stockholm, Sweden

Član broj: 71
Poruke: 2194
194.144.223.*

Jabber: alex@a13x.info
ICQ: -1
Sajt: www.a13x.info

+1 Profil

Re: PHP login security

^{14.11.2001. u 10:43 - pre 273 meseci}

Citat:

dukenukem je napisao:
naravno moze i preko cookies - ali to je primerenije perl-u, gde nema session varijabli (na zalost).

Sto su kolacici primereniji Perlu? Krajnje je jednostavno koristiti
kolacice i u PHP-u (a i bilo kom drugom jeziku).

Takodje, ko te lagao da nema session variabli u Perlu?? Pogledaj
Apache::Session modul, npr.

Ja koristim Apache::Session, npr, i jako je fina stvarcica.

Poz, alex.

Alex: My favorite site is http://localhost/
R.J. Oppenheimer: "I am become death, destroyer of worlds" (1945 AD)
tweet.13x ||
linkedin.13x

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{14.11.2001. u 23:26 - pre 273 meseci}

Citat:

alex je napisao:
Sto su kolacici primereniji Perlu? Krajnje je jednostavno koristiti
kolacice i u PHP-u (a i bilo kom drugom jeziku).

nisu primereniji, nego su zaebaniji. lakse brate session variable, a?

Citat:

Ja koristim Apache::Session, npr, i jako je fina stvarcica.

"i tata bi, sine!" :)
kad zakonom propisu module koje je obavezno instalirati, mozemo da pricamo... do onda ne zelim da se neprijatno iznenadjujem sa svakim sledecim provajderom.
btw - instaliraj mi apache::session na activeperl i sagradicu ti bi(j)oskop...

= come get some =

Odgovor na temu

alex
Aleksandar Radulovic
Senior Software Engineer, Spotify
Stockholm, Sweden

Član broj: 71
Poruke: 2194
194.144.223.*

Jabber: alex@a13x.info
ICQ: -1
Sajt: www.a13x.info

+1 Profil

Re: PHP login security

^{15.11.2001. u 11:24 - pre 273 meseci}

Citat:

dukenukem je napisao:
nisu primereniji, nego su zaebaniji. lakse brate session variable, a?

Ma nisu zajebaniji, cini ti se. Meni se takav stil vise svidja od
automatskog registrovanja varijabli. Mada, peace of cake je
napisati funkciju koja ce da registruje variable od kolacica..

Citat:

"i tata bi, sine!" :)
kad zakonom propisu module koje je obavezno instalirati, mozemo da pricamo... do onda ne zelim da se neprijatno iznenadjujem sa svakim sledecim provajderom.

Eh, da znas - muke s Perl modulima su verovatno najveci "bad thing"
u Perlu - ponajvise sa verzijama. Oko toga bi dosta toga moglo da se
poboljsa. Ja recimo prilikom svake instalacije Linux masine (ili Perla
negde) uvek imam "svoj" set modula koje instaliram (koji ce mi ikada
biti potrebni).. Tako da nikad nemam problema, ali samo na svojim
masinama. Na drugim (tudjim) masinama, uvek je problem naterati
administratore da instaliraju module. Mada, mislim da bi svaki posteni
administrator trebalo da instalira at least DBI pakete (za pocetak).

Citat:

btw - instaliraj mi apache::session na activeperl i sagradicu ti bi(j)oskop...

Sto, zar je problem?? Pre svega, potreban je Apache da bi instalirao Apache::Session. Sad cu bas da probam da instaliram modul pa cu ti
javnuti.

poz, alex.

Alex: My favorite site is http://localhost/
R.J. Oppenheimer: "I am become death, destroyer of worlds" (1945 AD)
tweet.13x ||
linkedin.13x

Odgovor na temu

Riste Pejov
Team Leader/Senior Software Developer @
Ein-Sof ltd Skopje
Skopje, Macedonia

Član broj: 128
Poruke: 571
212.110.78.*

Jabber: richie@bagra.net.mk
ICQ: 154236769
Sajt: riste.softver.org.mk

Profil

Re: PHP login security

^{15.11.2001. u 13:35 - pre 273 meseci}

Pa mozes i pass u kukija da kriptujes sto ti je isto _dovoljno_ sigurno ...
ali ipak prvi put pass mora u plain text da ide kroz mrezu ...

People who think they know everything tend to irritate those of us who do.

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{15.11.2001. u 23:05 - pre 273 meseci}

Citat:

alex je napisao:
Ma nisu zajebaniji, cini ti se. Meni se takav stil vise svidja od
automatskog registrovanja varijabli. Mada, peace of cake je
napisati funkciju koja ce da registruje variable od kolacica..

naravno. kada radim cgi imam svoje funkcije koje registruju varijable od query i post stringa, i od cookies (svoje - zato sto se ne oslanjam na module i ne volim da mislim sta je koja budala instalirala na serveru). medjutim, i dalje postoji problem setovanja cookie-a koji mora da ide u header-u, a posto obicno napravis neki "univerzalni" deo stranice moras da se dodatno opterecujes promenljivima tipa "setovati cookie i koji"... definitivno, ipak je manji komfor?

drugo, mozda ipak treba misliti i na paranoike ili neuke kojima su cookies disabled. u tom slucaju jedino suvislo resenje je session i to sa kobajom u query string-u... (ovo vise na filozofskoj bazi; iskreno, uvek ih od*ebem :) )

Citat:

Mada, mislim da bi svaki posteni
administrator trebalo da instalira at least DBI pakete (za pocetak).

eh da... radio sam u cgi-u poveliki shop koji je sticajem nesrecnih okolnosti trebalo da bude postavljen na iis platformu (sto generalno nije problem jer istu rabimo kao local test server u firmi), sa mssql bazom. kada je projekat bio vec gotov i uploadovan ispostavilo se, naravno, da nemaju ni "d" od dbi i dbd::odbc, nego koriste (krajnje retardirajuci) win32::odbc. ostav!, sto bi se reklo...

Citat:

Sto, zar je problem?? Pre svega, potreban je Apache da bi instalirao Apache::Session. Sad cu bas da probam da instaliram modul pa cu ti
javnuti.

nema ga medju activestate-ovim modulima, a to je jedini meni poznat nacin instaliranja modula na activestateov perl (voleo bih da me neko demantuje, cak bih ga i vodio na pivo za tu kontrainformaciju).

thanx, anyway.

= come get some =

Odgovor na temu

vilyu
Web Developer
Beograd, Srbija

Član broj: 1188
Poruke: 444

+2 Profil

Re: PHP login security

^{16.11.2001. u 09:02 - pre 273 meseci}

Ali koja je to sigurnost i ako se proba sa cookies? Prvi put saljem nekriptovan password, a svaki sledeci put kriptovan. U svakom slucaju, pass non stop siba kroz mrezu, gde neko ko monitorise mrezu lako moze da ga uhvati. Tako da ja ne vidim veliku vajdu od kolacica.

Pera električar 0637129710, BG, preporučujem.

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{17.11.2001. u 00:21 - pre 273 meseci}

Citat:

vilyu je napisao:
Ali koja je to sigurnost i ako se proba sa cookies? Prvi put saljem nekriptovan password, a svaki sledeci put kriptovan. U svakom slucaju, pass non stop siba kroz mrezu, gde neko ko monitorise mrezu lako moze da ga uhvati. Tako da ja ne vidim veliku vajdu od kolacica.

prvo, ako ti je stalo do zastite podataka, ceo "users" area je pod ssl-om (a to bar nije neka mudrost). dakle, sve ide kriptovano. dalje, svakako ces manju stetu napraviti ako umesto cookie-a sa pass-om jednostavno postavis cookie "logged_on" ili stagod...

= come get some =

Odgovor na temu

dwarf
Beograd, Srbija

Član broj: 1328
Poruke: 336
*.verat.net

Profil

Re: PHP login security

^{17.11.2001. u 07:27 - pre 273 meseci}

Citat:

dukenukem je napisao:

Citat:

vilyu je napisao:
Ali koja je to sigurnost i ako se proba sa cookies? Prvi put saljem nekriptovan password, a svaki sledeci put kriptovan. U svakom slucaju, pass non stop siba kroz mrezu, gde neko ko monitorise mrezu lako moze da ga uhvati. Tako da ja ne vidim veliku vajdu od kolacica.

prvo, ako ti je stalo do zastite podataka, ceo "users" area je pod ssl-om (a to bar nije neka mudrost). dakle, sve ide kriptovano. dalje, svakako ces manju stetu napraviti ako umesto cookie-a sa pass-om jednostavno postavis cookie "logged_on" ili stagod...

Eventualno u cookies postavis username i zatim ga ponovo na svakoj strani koju zelis da zastitis autentifikujes kroz bazu. Ako neko stavis samo svic, dakle $isLogged ili tako nesto, onda rizikujes puno. Postavis i to i username pa onda lepo "pitas" da li je uopste covek logovan, pa ako jeste, radis ostatak. Ako nije, vracas ga nzad na login stranu. Toliko o tome...

Mada, session varijable su bolje resenje.

Administratoru foruma: ako vec text polja za pisanje postova moraju da budu siva, ne mogu li slova biti boldovana??? Please?? Pretty please???

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{17.11.2001. u 16:56 - pre 273 meseci}

Citat:

dwarf je napisao:
Eventualno u cookies postavis username i zatim ga ponovo na svakoj strani koju zelis da zastitis autentifikujes kroz bazu. Ako neko stavis samo svic, dakle $isLogged ili tako nesto, onda rizikujes puno. Postavis i to i username pa onda lepo "pitas" da li je uopste covek logovan, pa ako jeste, radis ostatak.

absolutely - na to sam i mislio, dakle "isLogged" cookie postavljas samo umesto password-a, a username ostaje u cookie-u. moze malo i da se "obogati" predvidjanjem polja u users tabeli koje bi se zvalo npr. "last_login_time", pa poredis da li je vece od trenutnog-2 h, npr; time se nista ne gubi, osim sto se korisnici koji se "ne skidaju" sa sajta posalju na "rutinsku proveru" posle tog vremena.

dalje, jos jedna finesa za sprecavanje zloupotreba - prilikom promene sifre, ako je predvidjena, obavezno predvideti i field "old password".

"jure me neki paranoici" :)

= come get some =

Odgovor na temu

dwarf
Beograd, Srbija

Član broj: 1328
Poruke: 336
*.verat.net

Profil

Re: PHP login security

^{18.11.2001. u 10:27 - pre 273 meseci}

Citat:

dukenukem je napisao:
se "obogati" predvidjanjem polja u users tabeli koje bi se zvalo npr. "last_login_time", pa poredis da li je vece od trenutnog-2 h, npr; time se nista ne gubi, osim sto se korisnici koji se "ne skidaju" sa sajta posalju na "rutinsku proveru" posle tog vremena.

Cekaj, bre, bre... :) Mozes i da postavis jednostavno cookie timeout, tj. da cookie istekne posle odredjenog vremena. Recimo, postavis da cookie istice posle 3-4 minuta. Na svakoj strani kada uspe autentifikacija, ti lepo produzis trajanje cookie-u za tih 3-4 minuta. I tako stalno.

I dalje mislim da su sessions pravilniji odgovor na ovako nesto, ali ako vi momci tvrdite da nisu... :)) Sala mala, naravno.

Idem da "programiram" u VS.NET-u...

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.11.EUnet.yu

ICQ: 35310908

Profil

Re: PHP login security

^{18.11.2001. u 22:15 - pre 273 meseci}

Citat:

dwarf je napisao:
Cekaj, bre, bre... :) Mozes i da postavis jednostavno cookie timeout, tj. da cookie istekne posle odredjenog vremena. Recimo, postavis da cookie istice posle 3-4 minuta. Na svakoj strani kada uspe autentifikacija, ti lepo produzis trajanje cookie-u za tih 3-4 minuta. I tako stalno.

I dalje mislim da su sessions pravilniji odgovor na ovako nesto, ali ako vi momci tvrdite da nisu... :)) Sala mala, naravno.

jes, bogamu, imas pravo! (ovo za vremensi ogranicene cookies). majku mu bozju, ne pade mi na pamet... <- [palo bi, samo kad bi imalo sta da pogodi...] <- ignorisite ovu samokritiku!

ipak, kao sto rekoh (tamo negde gore, oduzio se thread...) - bolje session variable, slazem se. lakse je.

= come get some =

Odgovor na temu

dwarf
Beograd, Srbija

Član broj: 1328
Poruke: 336
*.yubc.net

Profil

Re: PHP login security

^{19.11.2001. u 10:44 - pre 273 meseci}

Citat:

dukenukem je napisao:
jes, bogamu, imas pravo! (ovo za vremensi ogranicene cookies). majku mu bozju, ne pade mi na pamet... <- [palo bi, samo kad bi imalo sta da pogodi...] <- ignorisite ovu samokritiku!

ipak, kao sto rekoh (tamo negde gore, oduzio se thread...) - bolje session variable, slazem se. lakse je.

Naravno da je lakse. Pogotovo sto PHP ima onu foru sa trans_session_id...Znas o cemu pricam vec...Pa onda mozes lepo da radis. Za razliku od ASP-a koji mora da ima cookie na klijentovoj masini.

Ono sto me je zaista razocaralo kod ASP.NET-a jeste to sto on predefinisane nacine za autentifikaciju i ti mozes malko da se zezas, ali ne krucijalno...Ponekada pomislim da MS zaista zeli da svi programeri budu bezumna stoka...

Odgovor na temu

dukenukem
Nemanja Nikolic
Beograd

Član broj: 970
Poruke: 99
*.ppp-bg.sezampro.yu

ICQ: 35310908

Profil

Re: PHP login security

^{19.11.2001. u 20:50 - pre 273 meseci}

Citat:

dwarf je napisao:
Naravno da je lakse. Pogotovo sto PHP ima onu foru sa trans_session_id...Znas o cemu pricam vec...Pa onda mozes lepo da radis. Za razliku od ASP-a koji mora da ima cookie na klijentovoj masini.

znam, napisao sam i to negde gore... jedino nezgodno u svemu je sto postoji problem sa guranjem te "kobaje" u favourites...

Citat:

Ono sto me je zaista razocaralo kod ASP.NET-a jeste to sto on predefinisane nacine za autentifikaciju i ti mozes malko da se zezas, ali ne krucijalno...Ponekada pomislim da MS zaista zeli da svi programeri budu bezumna stoka...

hehe... no comment.

= come get some =

Odgovor na temu

dwarf
Beograd, Srbija

Član broj: 1328
Poruke: 336
*.verat.net

Profil

Re: PHP login security

^{19.11.2001. u 22:32 - pre 273 meseci}

Ma ja imam comment za njih... :) Salim se, naravno. Iskreno, .NET za sada samo proucavam. Ako bude nekoih para odtoga, dobro i jest. Ako ne...pa, od perla ce uvek biti, zar ne?? :)

Odgovor na temu

Zoran Rašković
Serbia

Član broj: 95
Poruke: 1360
*.vis.clearwire-dns.net.

+1 Profil

Re: PHP login security

^{20.11.2001. u 03:39 - pre 273 meseci}

da li ste vi normalni ? da se stavlja username u cookie ?????????

pa korisnici mogu da spoofuju cookie, tj. da promene vrednost cookija, tako da monda mogu da pristupe nekom drugom nalogu recimo , i to bez lozinke!

Odgovor na temu

[es] :: PHP :: PHP login security

Strane: 1 2

[ Pregleda: 9512 | Odgovora: 39 ] > FB > Twit

Srodne teme

14.04.2024. Re: Gde je Kejt? (samo pogrešni odgovori)
24.10.2001. Kako da zastitim Login
08.02.2002. Solaris 8 Security book review
08.05.2002. NT security
30.07.2002. PHP 4.2.0 i 4.2.1 BUG!!!
04.12.2002. mingetty + nesto drugo osim /bin/login
08.01.2003. Linux security u 2002 godini
23.05.2003. Problemi sa migracijom PHP aplikacije sa PHP Tria..
03.08.2003. PHP config SESSION problem :(
03.11.2003. Graficki login?

Navigacija

Lista poslednjih: 16, 32, 64, 128 poruka.