beveiligd wachtwoord in html.

[Verwijderd]

dus ik zit met een vraag: ik wil in html een inlogfunctie maken, maar dat als de mensen de source code bekijken, dat ze het wachtwoord niet kunnen zien.
ik heb al zoeits kunnen maken, maar dan kon je het wachtwoord zien in de source code.
ps dit mag ook in flash

[Verwijderd]

Met wat wou je dit beveiligen dan? MD5? Kwestie van copy/pasten en je bruteforcer aanzetten... afhangkelijk van hoe sterk het wachtwoord is kan het minder dan 15 min zijn eerdat je een MD5 Hash bruteforced hebt.

Ik denk dat je beter een serversided login kan maken, of bijv een password protected directory opzetten (bijv www.site.com/beveiligd/ )

Wat je van plan bent lijkt me niet echt slim..

[RaZ]

Dan zou ik als ik jou was eens HTML of Flash gaan leren.

[Luppie]

dus ik zal het eerder met .htaccess doen

[Onbekend]

Wat wil je met die login-functie bereiken?

Ik zou dat door de server laten bepalen wie of wat er toegang heeft. De client kant van de website kan eenvoudig aangepast worden.

[To_Tall]

data base aan je site hangen PHP ik zou toch even verder kijken onder kopje hoe een web applicatie werkt

[Victor]

Heel simpel truukje om wachtwoordbeveiliging te maken zonder server-side code te hoeven schrijven:

Zet een tekstbestand in een map ("login" o.i.d.) op je server met daarin de locatie van de beveiligde pagina. Geef dit tekstbestand als naam het te gebruiken wachtwoord.

Laat vervolgens je loginpagina door middel van AJAX het wachtwoord controleren, door een pagina op te halen met het opgegeven wachtwoord. Is het wachtwoord fout, dan zal de server een 404 teruggeven en is het inloggen mislukt. Is het wachtwoord goed, dan krijg je een 200 terug en kun je de gebruiker doorverwijzen naar de URL in het tekstbestand.

Nadeel hiervan is dat dat tekstbestand wel eens in je browsercache zou kunnen blijven hangen. Dat, plus het feit dat dit echt heel smerig is... Maar het werkt wel

[Luppie]

Zoek maar eens op : Security through obscurity

Gebruik je HTML dan maak je gebruik van dat principe en is dus niet heel erg veilig.

[MueR]

King_Louie schreef op vrijdag 10 augustus 2007 @ 16:49:
Nadeel hiervan is dat dat tekstbestand wel eens in je browsercache zou kunnen blijven hangen. Dat, plus het feit dat dit echt heel smerig is... Maar het werkt wel

Plus dat iedereen die in de source gaat kijken, ook wel ziet waar dat tekstbestand staat, en het dus net zo min helpt.

[Victor]

MueR schreef op vrijdag 10 augustus 2007 @ 19:48:
[...]

Plus dat iedereen die in de source gaat kijken, ook wel ziet waar dat tekstbestand staat, en het dus net zo min helpt.

Lees m'n post nog eens goed door... Het wachtwoord is de naam van het tekstbestand, zolang je dat niet weet, weet je dus ook niet waar dat bestand staat.

[Osiris]

MueR schreef op vrijdag 10 augustus 2007 @ 19:48:
[...]

Plus dat iedereen die in de source gaat kijken, ook wel ziet waar dat tekstbestand staat, en het dus net zo min helpt.

Nee, want dat tekstbestand (de filename dus) is JUIST het wachtwoord De URL wordt gegenereerd m.b.v. het opgegeven wachtwoord, snappie?

[doeternietoe]

King_Louie schreef op vrijdag 10 augustus 2007 @ 16:49:
Heel simpel truukje om wachtwoordbeveiliging te maken zonder server-side code te hoeven schrijven:

Zet een tekstbestand in een map ("login" o.i.d.) op je server met daarin de locatie van de beveiligde pagina. Geef dit tekstbestand als naam het te gebruiken wachtwoord.

Laat vervolgens je loginpagina door middel van AJAX het wachtwoord controleren, door een pagina op te halen met het opgegeven wachtwoord. Is het wachtwoord fout, dan zal de server een 404 teruggeven en is het inloggen mislukt. Is het wachtwoord goed, dan krijg je een 200 terug en kun je de gebruiker doorverwijzen naar de URL in het tekstbestand.

Nadeel hiervan is dat dat tekstbestand wel eens in je browsercache zou kunnen blijven hangen. Dat, plus het feit dat dit echt heel smerig is... Maar het werkt wel

Da's in feite nog steeds server-side. Bovendien als ze eenmaal die URL weten, is het systeem weer waardeloos. Dit moet eigenlijk toch server-side, dus dan zou ik dat gelijk maar goed doen met een Database.

[Victor]

doeternietoe schreef op vrijdag 10 augustus 2007 @ 19:56:
[...]

Da's in feite nog steeds server-side. Bovendien als ze eenmaal die URL weten, is het systeem weer waardeloos. Dit moet eigenlijk toch server-side, dus dan zou ik dat gelijk maar goed doen met een Database.

Ik zei ook niet dat het een goede methode was, slecht een methode.

Bovendien, als ze de URL weten, weten ze dus je wachtwoord. Hoe je je authenticatie ook afhandelt, dan ben je gewoon fucked.

[robbert]

doeternietoe schreef op vrijdag 10 augustus 2007 @ 19:56:
[...]

Da's in feite nog steeds server-side.

Nee, dit is niet server-side. Je doet alles aan de kant van de client.

Bovendien als ze eenmaal die URL weten, is het systeem weer waardeloos.

Als je bij een ander systeem eenmaal het wachtwoord weet is het net zo waardeloos...

dus dan zou ik dat gelijk maar goed doen met een Database.

Waarom perse een database? Een simpel iets met .htpasswd werkt ook prima als het slechts voor enkele gebruikers is. Het is dan zelfs een stuk makkelijk.

[doeternietoe]

robbert schreef op vrijdag 10 augustus 2007 @ 20:02:
[...]

Nee, dit is niet server-side. Je doet alles aan de kant van de client.

Goed, programming is aan de kant van de client. Maar je maakt gebruik van een http-functie die daarvoor niet bedoeld is (status) het wachtwoord te accepteren of niet te accepteren. Deze controle vindt server-side plaats.

[...]

Als je bij een ander systeem eenmaal het wachtwoord weet is het net zo waardeloos...

Dan zou je er wel voor moet zorgen dat de URL een zeer onlogische inhoud heeft.

In het volgende voorbeeld, wat zou dan eerder geraden worden, ww of URL?
1) 10-karakter, gemixed wachtwoord met serverside controle
2) Een wachtwoord dat naar een bestand op de server verwijst, en dat je na een controle doorstuurt naar http://domein.tld/accept.html ?

[...]

Waarom perse een database? Een simpel iets met .htpasswd werkt ook prima als het slechts voor enkele gebruikers is. Het is dan zelfs een stuk makkelijk.

I agree, dat zou inderdaad ook kunnen. Ik vind een database wel een stuk flexibeler, maar het zou inderdaad met een .htpasswd kunnen.

Mijn punt is eigenlijk vooral dat het serverside moet.

[Victor]

doeternietoe schreef op vrijdag 10 augustus 2007 @ 20:34:
In het volgende voorbeeld, wat zou dan eerder geraden worden, ww of URL?
1) 10-karakter, gemixed wachtwoord met serverside controle
2) Een wachtwoord dat naar een bestand op de server verwijst, en dat je na een controle doorstuurt naar http://domein.tld/accept.html ?

http://foo.bar/3HkqdCNbXt...CGBYr8iwYCRUw06rjxTbE.txt is best lastig te raden.

En als die dan weer doorverwijst naar http://QE6WEruVX7pPoGk9GO...dUKcezedPHXG7uvvueC4.html, dan is dat nog lastiger dan jouw wachtwoord van 10 tekens.

[Verwijderd]

King_Louie schreef op vrijdag 10 augustus 2007 @ 16:49:
Heel simpel truukje om wachtwoordbeveiliging te maken zonder server-side code te hoeven schrijven:

Zet een tekstbestand in een map ("login" o.i.d.) op je server met daarin de locatie van de beveiligde pagina. Geef dit tekstbestand als naam het te gebruiken wachtwoord.

Laat vervolgens je loginpagina door middel van AJAX het wachtwoord controleren, door een pagina op te halen met het opgegeven wachtwoord. Is het wachtwoord fout, dan zal de server een 404 teruggeven en is het inloggen mislukt. Is het wachtwoord goed, dan krijg je een 200 terug en kun je de gebruiker doorverwijzen naar de URL in het tekstbestand.

Nadeel hiervan is dat dat tekstbestand wel eens in je browsercache zou kunnen blijven hangen. Dat, plus het feit dat dit echt heel smerig is... Maar het werkt wel

dit staat mij wel aan!
leg eens uit hoe je dat doet in AJAX

[Victor]

Verwijderd schreef op vrijdag 10 augustus 2007 @ 20:58:
[...]

dit staat mij wel aan!
leg eens uit hoe je dat doet in AJAX

Ruwweg zo:

JavaScript:

function login(password) {
    var socket = new XmlHttpRequest();

    socket.open("GET", "/login/" + password + ".txt", false);
    socket.send(null);

    if (socket.status = 200) {
        location.href = socket.responseText;
    }

    return false;
}

[Verwijderd]

dit werkt niet, als ik dit in frontpage plak, komt de tekst er gewoon te staan
stuur eens een html bestand met die inlogfunctie aub

[Osiris]

Uiteraard wel dir-listing op die map /login/ uitzetten

Verwijderd schreef op vrijdag 10 augustus 2007 @ 21:16:
dit werkt niet, als ik dit in frontpage plak, komt de tekst er gewoon te staan
stuur eens een html bestand met die inlogfunctie aub

't Is JavaScript. Ook Frontpage heeft ongetwijfeld wel ergens een functie op javascripts aan het document toe te kunnen voegen. Vervolgens heb je nog een button oid nodig om die functie aan te roepen en uiteraard een invulvakje voor het wachtwoord.

Maar als zoiets je al te boven gaat, sja ...

[ Voor 81% gewijzigd door Osiris op 10-08-2007 21:18 ]

[Victor]

Verwijderd schreef op vrijdag 10 augustus 2007 @ 21:16:
stuur eens een html bestand met die inlogfunctie aub

Succes

[Marzman]

King_Louie schreef op vrijdag 10 augustus 2007 @ 16:49:
Heel simpel truukje om wachtwoordbeveiliging te maken zonder server-side code te hoeven schrijven:

Zet een tekstbestand in een map ("login" o.i.d.) op je server met daarin de locatie van de beveiligde pagina. Geef dit tekstbestand als naam het te gebruiken wachtwoord.

Laat vervolgens je loginpagina door middel van AJAX het wachtwoord controleren, door een pagina op te halen met het opgegeven wachtwoord. Is het wachtwoord fout, dan zal de server een 404 teruggeven en is het inloggen mislukt. Is het wachtwoord goed, dan krijg je een 200 terug en kun je de gebruiker doorverwijzen naar de URL in het tekstbestand.

Nadeel hiervan is dat dat tekstbestand wel eens in je browsercache zou kunnen blijven hangen. Dat, plus het feit dat dit echt heel smerig is... Maar het werkt wel

Met hetzelfde truukje kun je in javascript de naam van het beveiligde html-bestand gelijk maken aan het wachtwoord. Is het wachtwoord fout, 404, is het wachtwoord goed dan kom je op de beveiligde pagina.

[Verwijderd]

ok dit is me al gelukt en nu het invulvakje en de submit button nog.

help aub

[Victor]

Marzman schreef op vrijdag 10 augustus 2007 @ 21:20:
[...]

Met hetzelfde truukje kun je in javascript de naam van het beveiligde html-bestand gelijk maken aan het wachtwoord. Is het wachtwoord fout, 404, is het wachtwoord goed dan kom je op de beveiligde pagina.

Inderdaad, maar op deze manier kun je je wachtwoord gescheiden houden van de beveiligde pagina en kun je bovendien wat netter omspringen met mislukte pogingen tot inloggen.

[RobIII]

Verwijderd schreef op vrijdag 10 augustus 2007 @ 20:58:
[...]

dit staat mij wel aan!
leg eens uit hoe je dat doet in AJAX

Verwijderd schreef op vrijdag 10 augustus 2007 @ 21:16:
dit werkt niet, als ik dit in frontpage plak, komt de tekst er gewoon te staan
stuur eens een html bestand met die inlogfunctie aub

Verwijderd schreef op vrijdag 10 augustus 2007 @ 21:24:
ok dit is me al gelukt en nu het invulvakje en de submit button nog.

help aub

Euh, zo werken we hier niet (zie quickfix). We verwachten hier dat je zélf ook moeite doet en nadenkt. We zijn hier geen afhaalbalie voor kant-en-klare oplossingen.

[ Voor 43% gewijzigd door RobIII op 10-08-2007 21:29 ]