|
ציטוט:
בעת ההרשמה, אני קולט שני פרמטרים מהמשתמש נכון? userID ו userPassword. בשדה נוסף במסד, נקרא לו randNumber אני יוצר בעצמי (המשתמש לא קשור לזה) מספר רנדומאלי של איזה 8 ספרות ומוודא שהוא לא חוזר על עצמו (כלומר לא קיים ברשומות לפני זה). ואני שומר בעוגייה שני פרמטרים: userID ו randNumber מוצפנים (שים לב, במסד הם בצורה רגילה!). בעת כניסה לאתר, אני בודק את ה cookie ומחפש האם במסד קיים userID שה randNumber זהה למה שיש בעוגייה: במידה וזה זהה - סבבה. העוגייה עד כה תקינה. אני בודק האם הסיסמא שהגולש הקיש שווה לסיסמא המוצפנת שקיימת במסד.יש עוד שאלות על השיטה?|קורץ| |
ציטוט:
אז עוד פעם חזרנו לאי הנוחות של הקשת סיסמה כל כניסה...לפי הכתוב כמובן. אם לא שמת לב: "אם בא לך לשלוח לי בפרטי איזה תוכנת מסרים...יהיה נחמד לדבר...;)" |
ציטוט:
כנראה שלא הבנת עד הסוף את השיטה |Rolleyes| מסרים? מסנג'ר - elad86@gmail.com (אם מישהו אחר מוסיף אותי, תזדהו!) |
אלעד,
" בעת כניסה לאתר, אני בודק את ה cookie ומחפש האם במסד קיים userID שה randNumber זהה למה שיש בעוגייה: במידה וזה זהה - סבבה. העוגייה עד כה תקינה. אני בודק האם הסיסמא שהגולש הקיש שווה לסיסמא המוצפנת שקיימת במסד." הגולש לא הקיש שום סיסמא. זה כל הרעיון. אתה אמור לזכור את הסיסמא שהוא הקיש, כדי שהוא תמיד יהיה מזוהה. |
אני לא הבנתי
אני אשמח לשמוע בדיוק מה שeye-soft אמר |
דווקא מאוד מובן מה שהוא אמר(אלעד).
הוא יוצר חוץ מהסיסמא קוד רנדומלי שהמשתמש לא יודע אותו לכל גמשתמש ומשתמש הוא יוצר קוד כזה בהרשמה. הוא כל פעם שמשהו נירשם בודק אם קיים כבר כזה קוד אז הוא יוצר קוד חדשה. יש לו בטבלה של המשתמשים במסד את כל הפרטים הרגילים ועוד עמודה לדוגמא בשם CODE ובה הוא מזין את הקוד שנוצר. לעוגיה הוא מוריד את ID המשתמש+הקוד הרנדומלי ואז הוא מבצע בדיוק מה שכולם מבצעים רק עם הקוד הרנדומלי שהוא לא הסיסמא. ככה שאם נגיד גנבו עוגיה למשהו אז אם ישימו את הקוד הרנדומלי בסיסמא אז זה לא יהיה נכון. |
אחלה שיטה אלעד. :)
|
אבל אז למה צריך סיסמא?
|
ציטוט:
|
הוא התנתק לי באמצע :\
לא הבנתי למה צריך סיסמא |
לא מובן לי את הקטע שהמשתמש מקיש סיסמה.
אחרי אם הוא מסמן "זכור אותי" זה שומר רק ID ומס' רמדומלי קבוע למשתמש אז אם איפה בידיוק הוקשה הסיסמה? |
אלעד, אם הוא לא מסמן 'זכור אותי' מה קורה? :rolleyes:
|
ציטוט:
|
ציטוט:
או יכול להיות שרק קוקיז שיש בו ערך שמאשר. |
ציטוט:
סורי אלעד, אבל ממה שהסברת בנתיים, זה חסר כל יתרון. |
לא חסר כל יתרון
אבל יש לזה כמה חסרונות כמו לכל השיטות אחרי מה שהבנתי, אני עדיין לא מחליף שיטה אולי מחר כשהוא יסביר לי יותר |
אבל מדוע צריך סיסמא לפי השיטה הזאת?
|
כמו ש Eye-Soft אמר.
ציטוט:
בעצם במחשבה שניה (מצחיק שאני חושב תוך כדי כתיבה, אבל ככה יצא), נניח שמגבילים פעולות מסויימות, כמו החלפת סיסמא ומחיקת משתמש בכך שצריך להזין עוד פעם את הסיסמא. ואז במידה ומישהו פורץ חשבון, הוא יכול קצת להרוס, אבל לא למחוק לגמרי, ואז כאשר המשתמש המקורי יגלה שפרצו לו, רק הוא יוכל להחליף סיסמא (כי רק הוא יודע תסיסמא המקורית). וכנראה שאנחנו המתכנתים ממש נואשים למצוא דרכים בטוחות לבנות אתר. מתי נמצא דרך בטוחה יותר? |
קודם כל, נפלה טעות הקלדה קטנה. אין שום צורך בהקדלת הסיסמא מחדש. לא צריך להרוג בנאדם בשביל זה |קורץ|
סה"כ מה שאני שומר בעוגייה זה שני דברים: ID של משתמש קוד רנדומאלי שיצרתי לו (כמובן שבעוגייה זה מוצפן ובמסד זה לא מוצפן) בכל התחברות מחדש (אחרי התנתקות יזומה) של המשתמש בפורום שלי, אני מחליף את הקוד הרנדומאלי שיצרתי בקוד רנדומאלי אחר. ציטוט:
קודם כל נקדים ונאמר שנגד XSS אין שום פתרון ואם גנבו את העוגייה אז המצב קשה וצריך לבדוק איך בדיוק תוכנת האתר. למה זה יותר מאובטח? אתה תשים סיסמא מוצפנת בעוגייה. אני אגנוב לך את העוגייה ואז אני יכול לפענח בקלות את הסיסמא של המשתמש (אני לא צריך לדעת את הסיסמא המקורית, מספיק שאני מחפש ביטוי באינטרנט שמחזיר לי את אותו פלט md5) ואז החלק החשבון משתמש פייפל. בשיטה שלי במידה ונגנבה העוגייה, המשתמש סה"כ צריך להתנתק מהחשבון שלו ולהתחבר מחדש ובכל נוצר לו קוד רנדומאלי חדיש חדש והעוגייה שבידי הגנב לא שמישה עוד. |
לא הבנתי איפה הסיסמא נכנסת בכל העניין..
|
ציטוט:
|
ציטוט:
|
ציטוט:
ציטוט:
|
אלעד, זה עדין לא יתרון אבטחה. מלבד העובדה שאם המשתמש יתנתק ויתחבר מחדש יהיה קוד אבטחה חדש, שזה גם לא יתרון גדול. מי שהתחבר עם הCOOKIE של אותו האדם (בעזרת אותה הדרך שפורצים למי שיש עוגיה עם סיסמא מוצפנת) יוכל להתנתק ולהתחבר מחדש.
קיצר, מלבד העובדה שזה מעמיס על השרת ליצור סיסמא רנדומאלית ולבדוק שאין עוד לשום משתמש סיסמא כזו, זה לא עוזר הרבה. |
ציטוט:
ציטוט:
בשיטה שלך שאתה שומר את הסיסמא מוצפנת בעוגייה אפשר לפענח את הסיסמא ואז להיכנס מחדש.. |
אז השרת יודע שהעוגיה לא גנובה?
!? |
ציטוט:
|
אני הבנתי את השיטה, רעיון מעולה דווקא
אבל לא הבנתי איך אפשר לגלות את הסיסמא מהMD5 |
| כל הזמנים הם GMT +2. הזמן כעת הוא 05:38. |
מופעל באמצעות VBulletin גרסה 3.8.6
כל הזכויות שמורות ©
כל הזכויות שמורות לסולל יבוא ורשתות (1997) בע"מ